Коллектив Авторов - Цифровой журнал «Компьютерра» № 181

Если принять во внимание масштабы возможной эпидемии, неудивительно, что Bluebox, сделавшая своё открытие ещё зимой, до последнего момента держала абсолютно все детали в тайне. В известность были поставлены лишь Google и крупные Android-вендоры. И только на днях авторы находки обнародовали некоторую информациюо сути уязвимости и продемонстрировали скриншот приложения, модифицированного таким образом, — как доказательство практической осуществимости атаки. Любопытно, кстати, что заплатка, устраняющая баг в операционной системе, состоит всего из пары строчек кода. Однако производителей ещё нужно заставить эти две строчки в свои версии Android внести! Собственно говоря, при наблюдаемых сумасшедших темпах эволюции модельного ряда и невообразимой фрагментированности платформы задача представляется неосуществимой. Ведь даже именитые вендоры прекращают поддержку своих устройств через год–два после выпуска, что уж говорить про китайский ноунейм.

Есть, правда, и другой способ защитить пользователей — принудительно проверять каждый APK-пакет, попадающий в магазин приложений. Google именно так и поступила — и пользователи, устанавливающие программное обеспечение только из Google Play (запретившие установку пакетов из посторонних источников; в настройках системы есть соответствующий пункт), могут быть спокойны. Но, к сожалению, и тут силами одного игрока не справиться. На многих Android-устройствах включен доступ к альтернативным апп-сторам, а на тех, что используют Android без гугловской лицензии, Google Play недоступен вовсе. Понятное дело, достучаться до владельцев каждого магазина приложений и заставить их проверять пакеты едва ли возможно. А ведь только популярных альтернативных апп-сторов насчитывается дюжина (включая отечественный «Яндекс.Store»).

Что ж, насколько известно, в ходе проверки Google Play ни одного пакета, модифицированного с применением бага 8219321, выявлено не было. Так что проблема оставалась теоретической и обещала остаться таковой вплоть до конца июля, когда Bluebox планирует обнародовать детали на конференции Black Hat. Однако её опередили. На днях компания viaForensics опубликовала свой эксплойт того же бага — утилиту, позволяющую распаковать, модифицировать и запаковать обратно APK-файл с сохранением его контрольной суммы и подписи.

Как предупредить заражение, вы уже знаете: не устанавливать «левые» пакеты и по возможности ограничиться гугловским апп-стором. Простые, стандартные, в общем-то, правила. Но вот кто донесёт их до человека с улицы?

P. S. Проверить свои Android-устройства на наличие бага 8219321 можно с помощью бесплатного приложенияот Bluebox Security.

К оглавлению

Опубликовано09 июля 2013

Дело шереметьевского человека-невидимки Сноудена и обсуждение его матримониальных планов как-то скрыло завесой информационного тумана то, что и в отечественном киберпространстве происходят поразительно интересные вещи. А ареной, где кипят страсти, является суд. Самое что ни на есть подходящее для этого место, архетипичное для европейской культуры. В афинском суде разворачивалась трагедия Сократа. Как и он, обвиненная в безбожии гетера Фрина демонстрировала свои прелести присяжным. (Слов в ее защиту блестящий оратор Гиперид не нашел…) В судах бичевал людские пороки Цицерон. Судом снискал себе страшное бессмертие Понтий Пилат. Книги юриста Кони являлись обязательным чтением в небогатую текстами советскую эпоху…

И ныне суд – место поразительно занятное. Тем более что мы видим сейчас пример интереснейшего киберпреступления, вызвавшего интереснейший резонанс во всех сферах деятельности общества. Началось всё три года назад, 15 июля 2010-го. DDoS-атака, продолжавшаяся девять дней, «обвалила» сервер процессинговой компании «Ассист». А компания эта была подрядчиком банка ВТБ24 — в рамках договора по проведению электронных платежей за авиабилеты, оформленные на сайте «Аэрофлота». В результате более девяти тысяч человек, оформивших билеты на рейсы этого авиаперевозчика, не смогли их оплатить… По подсчетам авиакомпании, речь шла о сумме в 146 миллионов рублей. Каковые убытки «Аэрофлот» и попытался взыскать с вышеупомянутого банка в Арбитражном суде Москвы. В чем в ходе тяжбы, длившейся с 31 августа 2010 года по 9 ноября 2012-го, «Аэрофлоту» и было отказано. Впрочем, как и банкирам во встречном иске — 23,7 миллиона рублей на доработку ИТ-инфраструктуры банка. А заявление о DDoS-атаке питерским правоохранителям подал пострадавший «Ассист».