211service.com
Google approva un'app che ruba tutti i tuoi dati
Il Bouncer automatizzato di Google per le app, che dovrebbe impedire la visualizzazione di software mobile dannoso nell'app store dell'azienda, sembra avere gravi punti ciechi. Il sistema ha scansionato ripetutamente ma ha lasciato passare un'app che ruba furtivamente dati personali come foto e contatti, hanno riferito due ricercatori della società di sicurezza informatica Trustwave al Cappello nero conferenza sulla sicurezza a Las Vegas ieri.
Nicolas Percoco e Sean Schulte sono membri del gruppo di ricerca sull'hacking etico di Trustwave, noto come SpiderLabs e hanno creato l'app per sondare la capacità di Google di controllare il software caricato nel suo app store. La coppia ha affermato che i risultati mostrano che Google ha bisogno di migliorare sia il suo sistema di scansione delle app che il suo sistema operativo Android.
Poiché sempre più persone scambiano computer desktop e laptop con smartphone e tablet, la sicurezza mobile sta diventando sempre più importante. Molti utenti si comportano anche come se tutto ciò che scaricano da un app store fosse sicuro.
L'acrobazia è imbarazzante per Google, il che ha annunciato l'esistenza del Bouncer sistema di sicurezza che esegue la scansione delle app nell'app store dell'azienda nel febbraio di quest'anno, affermando all'epoca che era stato utilizzato dalla fine del 2011 con successo (vedi Attacchi su Android Intensify ). Nel giugno di quest'anno, due ricercatori di un'altra società di sicurezza, Duo Security, ha attaccato lo stesso Bouncer , fornendo dettagli su come funziona.
Percoco e Schulte erano più interessati a mostrare come i criminali che speravano di guadagnare da app dannose potessero aggirare il sistema Bouncer. Hanno caricato un'app innocua nell'app store di Google e poi l'hanno aggiornata per renderla sempre più cattiva per vedere fino a che punto potevano spingersi prima che Bouncer entrasse in azione.
L'app originale, chiamata SMS Bloxor, bloccava semplicemente i messaggi di testo provenienti da determinati numeri. Il blocco degli SMS è stato scelto perché i ricercatori volevano dissuadere gli utenti dal scaricare l'app. Altre app, molte delle quali gratuite, offrono già la stessa funzionalità e SMS Bloxor ha un prezzo di $ 49,95. Non volevamo che 5.000 utenti scaricassero la nostra app dannosa, ha affermato Percoco. Sono l'unica persona che l'ha comprato.
La prima versione aveva una semplice funzione di casa del telefono integrata in modo che i ricercatori sapessero se Bouncer avesse testato l'app. Google non ha rilasciato dettagli tecnici di Bouncer, ma ha affermato di testare le app scansionando il loro codice ed eseguendole all'interno di un telefono simulato per vedere cosa fanno. Ciò implica dare a un'app l'accesso a Internet, quindi quando SMS Bloxor ha telefonato a casa pochi minuti dopo essere stato caricato nel Google Play Store, era chiaro che Bouncer l'aveva scansionato. L'app è quindi apparsa sull'app store di Google Play ed era pronta per essere scaricata da chiunque.
I ricercatori hanno quindi presentato sette versioni aggiornate, ognuna delle quali ha aggiunto più funzionalità dannose. Il primo è stato in grado di inviare segretamente i contatti di una persona ai creatori dell'app. Le seguenti versioni potrebbero rubare messaggi di testo, copiare le informazioni identificative di un telefono, rubare foto, rubare i registri delle chiamate, dirottare lo schermo e, infine, attaccare un indirizzo Internet inondandolo di richieste di dati, una tattica che può distruggere i siti Web se molti infetti i computer lavorano insieme, noto come attacco DDoS (Distributed Denial of Service).
Ci aspettavamo che uno di questi passaggi, come lo spoof screen o DDoS, ci avrebbe scoperti. E non lo ha fatto, ha detto Schulte. Bouncer ha scansionato ed eseguito le versioni aggiornate dell'app, ma ha sempre lasciato passare. Probabilmente perché Bouncer non ha mai visto l'app al suo peggio. Sebbene le versioni scansionate avessero tutto il codice necessario per fare cose cattive, i ricercatori hanno aspettato fino a quando non sono passati oltre Bouncer per inviare all'app le istruzioni finali necessarie per abilitare l'attività dannosa.
SMS Bloxor è stato finalmente ritirato dallo store dopo che i ricercatori hanno caricato una versione che inviava continuamente tutti i dati da un dispositivo ai creatori dell'app, senza mai fermarsi. Un'e-mail automatica informava Percoco che il suo account sviluppatore era stato sospeso e l'esperimento era terminato. Nessun avviso è stato inviato all'unica persona che aveva pagato e scaricato l'app, lo stesso Percoco.
La coppia ha informato Google dell'esperimento prima della loro presentazione ieri pomeriggio e ha incontrato i rappresentanti dell'azienda subito dopo per discutere i loro risultati.
Percoco ha suggerito che Google potrebbe espandere la portata di Bouncer e renderlo una funzionalità di ogni telefono Android, dove potrebbe controllare il comportamento di un'app dopo che è stata installata. Percoco ha anche affermato che Google dovrebbe riconsiderare la funzione che consente l'invio silenzioso del nuovo codice alle app dopo che sono state caricate su Google Play.
Google e altri fornitori di app-store hanno inizialmente progettato tali negozi principalmente con un modello di business, piuttosto che con la sicurezza, in mente, poiché la concorrenza per sfruttare il boom dei dispositivi mobili si è intensificata. Tuttavia, il gran numero di dispositivi ora in circolazione e il ruolo intimo che hanno nella vita delle persone ha convinto molti esperti di sicurezza che gli app store saranno presto soggetti a significativi sforzi criminali. Google ha riferito il mese scorso che più di 400 milioni di dispositivi Android sono stati attivati da quando sono stati resi disponibili per la prima volta nel 2008 (vedi Android è arrivato) e che ogni giorno ne vengono attivati un altro milione.
Percoco ha affermato che Google e altri sono stati fortunati finora e hanno ancora tempo per anticipare l'ondata in arrivo. Per ora, la maggior parte degli esempi di malware mobile consiste in attacchi mirati contro individui, come i CEO, che potrebbero avere accesso a preziosi dati aziendali. Dietro l'angolo ci sarà una catastrofe più diffusa che potrebbe colpire decine di migliaia o milioni di utenti.