Nieuws
image

Hackers kapen Android-toestel via rechtenloze app

woensdag 21 december 2011, 10:42 door Redactie, 3 reacties

Beveiligingsonderzoekers hebben een kwaadaardige Android app ontwikkeld die tijdens de installatie geen permissies aan de gebruiker vraagt, maar waardoor het toch mogelijk is om op afstand kwaadaardige code op het toestel te installeren. De onderzoekers van ViaForensics wilden aantonen dat een applicatie die geen permissies vereist, niet per definitie veilig of te vertrouwen is.

Rechten
Via de "No-permission Android app" wisten de onderzoekers remote shell op de smartphone te krijgen. "De functionaliteit die we misbruiken is niet nieuw, en is al enkele jaren bekend en werd tijdens de DefCon hackerconferentie uitgebreid besproken", zegt directeur Thomas Cannon. Hij benadrukt dat het niet om een zero-day of root-exploit gaat.

"We gebruiken Android op de manier zoals het ontworpen is, maar dan op een slimme manier om een twee-wegs communicatiekanaal op te zetten." Het probleem zou in Android 1.5 t/m 4.0 Ice Cream Sandwich aanwezig zijn en zou op alle platformen hetzelfde werken.

Achilleshiel
Andere onderzoekers demonstreerden al dat Android "permissies" lekt, iets waar ViaForensics gebruik van maakt. "In deze demonstratie zijn mogelijk Android's flexibiliteit en mogelijkheden de achilleshiel", gaat Cannon verder. De multi-tasking eigenschappen van Android zorgen ervoor dat de onderzoekers de aanvallen bijna onzichtbaar voor de gebruiker kunnen uitvoeren.

Reacties (3)
21-12-2011, 13:00 door Anoniem
Ik vind dit als Android gebruiker ronduit stupide. Als dit al zo lang bekend is, dan had de HSA dit tenminste moeten oplossen in 4.0 Ice Cream Sandwich. Dit is een blamage van bijna mythische proporties.

Ik dacht dat ik malware buiten de deur kon houden door bij elke install de gevraagde rechten goed te controleren. Naar nu blijkt, mag je zelfs daar niet op vertrouwen.

Op deze manier is het zo goed als vergelijkbaar met een willekeurige Windows install. klikken op okee en dan bidden dat je anti-malware definities recent genoeg zijn. :(

Het enige waar je op mag hopen, is het zelfreinigend vermogen van de community. populaire apps zijn *waarschijnlijk* veilig. Maar dat is wel een heel wankele basis voor vertrouwen.
21-12-2011, 20:27 door Anoniem
Wat ik nog veel meer stupide vindt is 'rechtenloze app'? Wat heeft er nou eigenlijk precies rechten en hoe worden die bewerkstelligd? Vergeet het maar jongens, allemaal mooi bedacht maar nog steeds gebaseerd op het binaire concept. Design flaw dus. Niet af te sluiten. Er komen zelfs al probleempjes met onze wiskundig correcte ARM core bovendrijven, wiskundig correct ja alleen wel binnen en model wat juist voor openheid is ontwikkeld; helaas pindakaas. Mirroren en volgen, niet voorkomen, is de enige echte beveiliging. dus betrouwbare patronen omlijnen en een groot extern oog op al het andere zetten, images die kant en klaar meteen overgepompt kunnen worden bij waarneming. En natuurlijk clusteren zodat je tijdens het pompen geen verlies van functionaliteit hebt. wordt een beetje lastig met mobile devices, tuurlijk moeten we ons best doen maareh... volgens mij is het oog groter dan de maag, nog steeds :)
22-12-2011, 00:05 door Anoniem
Ik kreeg vandaag voor het eerst een vreemd smsje in een taal die ik niet kon lezen na het installeren van een app..

Nu blijkt dat er 3 euro in rekening is gebracht door Vodafone voor dat smsje :s
Reageren

Deze posting is gelocked. Reageren is niet meer mogelijk.

Zoeken
search
Certified Secure