Kwaadaardige Android-apps kunnen de externe opslag van smartphones en tablets voor verschillende soorten aanvallen gebruiken, zo hebben onderzoekers van securitybedrijf Check Point tijdens de Def Con-conferentie in Las Vegas laten zien.

Er zijn twee soorten Android-opslag, de interne en externe. De interne opslag wordt door elke app gescheiden gebruikt en is ook gescheiden door de Android-sandbox. De externe opslag is bijvoorbeeld een sd-kaart die alle apps delen. Veel populaire apps maken gebruik van de externe opslag als tijdelijke buffer bij het downloaden van data van het internet. Ook zijn er de nodige apps die werkgegevens permanent op de externe opslag bewaren, aangezien de interne opslag beperkt kan zijn, aldus de onderzoekers.

"Aangezien alle third-party apps die op het toestel zijn geïnstalleerd de data van andere apps via de externe opslag kunnen bekijken, alsmede een bestand kunnen overschrijven, bestaan er allerlei mogelijkheden voor een Man-in-the-Disk-aanval", zo merken de onderzoekers op. Zo kan een kwaadaardige app die de gebruiker heeft geïnstalleerd andere apps laten crashen wat tot het uitvoeren van code kan leiden, alsmede stilletjes een kwaadaardige app installeren, een denial of service veroorzaken of de rechten verhogen.

Google heeft richtlijnen voor Android-ontwikkelaars gemaakt waarin wordt geadviseerd om geen uitvoerbare bestanden op de externe opslag op te slaan en ervoor te zorgen dat bestanden zijn gesigneerd en cryptografisch gecontroleerd voordat ze worden geladen. De onderzoekers vonden echter verschillende populaire apps van onder andere Google en Xiaomi die van de externe opslag gebruikmaken en kwetsbaar voor een "Man-in-the-Disk-aanval" zijn omdat de ontwikkelaars de richtlijnen niet hadden gevolgd.