Sadržaj:
- Što je ranjivost i zašto je tako loša?
- Kako možete biti sigurni da ste sigurni
- Što smo naučili iz ovog procesa
Google je tek javno otkrio da je otkrio izuzetno ozbiljnu ranjivost u prvom Epicovom prvom instalacijskom programu Fortnite za Android koji je omogućio bilo kojoj aplikaciji na vašem telefonu da preuzme i instalira bilo što u pozadini, uključujući aplikacije s potpunim dozvolama, bez znanja korisnika. Googleov sigurnosni tim prvi je put otkrio ranjivost na Epic Games 15. kolovoza, a od tada je javno objavio informacije nakon potvrde iz Epića da je ranjivost zakrpljena.
Ukratko, upravo se takav vrsta instalacije bojao za Android Central i drugi koji su se bojali. Evo što trebate znati o ranjivosti i kako osigurati da idete naprijed.
Što je ranjivost i zašto je tako loša?
Kad krenete na preuzimanje "Fortnitea" zapravo ne preuzimate cijelu igru, najprije preuzimate Fortnite Installer. Fortnite Installer je jednostavna aplikacija koju preuzmete i instalirate, a zatim naknadno preuzimate cijelu igru Fortnite izravno iz Epic-a.
Instalaciju Fortnitea bilo je lako iskoristiti za otmicu zahtjeva za preuzimanje cijele igre.
Kao što je Googleov sigurnosni tim otkrio, problem je bio što je Fortnite Installer bio vrlo lako iskoristiti za otmicu zahtjeva za preuzimanje Fortnitea iz Epic-a i umjesto toga preuzeti bilo što kad dodirnete gumb za preuzimanje igre. To je ono što je poznato kao napad "čovjek-u-disku": aplikacija na vašem telefonu traži zahtjeve za preuzimanje nečega s interneta i presreće taj zahtjev da umjesto njega preuzme nešto drugo, što je neznano izvornoj aplikaciji za preuzimanje. To je moguće isključivo zato što je Fortnite Installer dizajniran na pogrešan način - Fortnite Installer nema pojma da je samo olakšao preuzimanje zlonamjernog softvera, a dodirom na "start" čak se pokreće i zlonamjerni softver.
Da biste ih mogli iskoristiti, na telefonu bi vam trebala biti instalirana aplikacija koja traži takvu ranjivost - ali s obzirom na popularnost Fortnitea i očekivanje izdanja, velika je vjerovatnoća da su vani neispravne aplikacije koje su radeći upravo to. Mnogo puta zlonamjerne aplikacije koje su instalirane na telefonima nemaju niti jedan podvig na njima, imaju čitav korisni teret pun poznatih ranjivosti koje treba testirati, a ova vrsta napada mogla bi biti jedna od njih.
Jednim dodirom možete preuzeti zlonamjernu aplikaciju koja ima puna dopuštenja i pristup svim podacima na vašem telefonu.
Evo gdje stvari postaju stvarno loše. Zbog načina na koji Androidov model dozvola radi, nećete morati prihvatiti instalaciju aplikacije iz "nepoznatih izvora" nakon vremena kad ste prihvatili tu instalaciju za Fortnite. Zbog načina na koji ovaj eksploatator funkcionira, tijekom instalacijskog procesa nema naznaka da preuzimate ništa osim Fortnitea (a Fortnite Installer također nema saznanja), dok se u pozadini instalira potpuno drugačija aplikacija. Sve se to događa unutar očekivanog tijeka instaliranja aplikacije iz Fortnite Instalera - prihvaćate instalaciju, jer mislite da instalirate igru. Na Samsung telefonima koji dobivaju aplikaciju od Galaxy Appsa, stvari su nešto gore: ne postoji čak ni prvi upit da to dopustite iz "nepoznatih izvora", jer je Galaxy Apps poznat izvor. Dalje, aplikacija koja je tek instalirana u tišini može izjaviti i dobiti svako moguće odobrenje bez vašeg daljnjeg pristanka. Nije važno imate li telefon s Android Lollipop ili Android Pie ili ste isključili "nepoznate izvore" nakon što ste instalirali Fortnite Installer - čim ga instalirate, potencijalno biste mogli biti napadnuti.
Googleova Issue Tracker stranica za eksploataciju sadrži brzo snimanje na ekranu koje pokazuje koliko lako korisnik može preuzeti i instalirati Fortnite Installer, u ovom slučaju iz Galaxy Apps Store-a, i misle da preuzimaju Fortnite dok umjesto toga preuzimaju i instaliraju zlonamjerni. aplikacija s punim dozvolama - kamera, lokacija, mikrofon, SMS, pohrana i telefon - pod nazivom "Fortnite". Potrebno je nekoliko sekundi i bez interakcije s korisnicima.
Da, ovo je prilično loše.
Kako možete biti sigurni da ste sigurni
Srećom, Epic je brzo djelovao da popravi eksploziju. Prema Epic-u, eksploatacija je utvrđena manje od 48 sati nakon što je obaviještena i raspoređena je na svaki Fortnite Installer koji je prethodno instaliran - korisnici jednostavno trebaju ažurirati Instalatora, što je posao u jednom pritisku. Fortnite Installer koji je donio ispravku je verzija 2.1.0, što možete provjeriti pokretanjem Fortnite Installera i odlaskom na njegove postavke. Ako iz bilo kojeg razloga želite preuzeti stariju verziju Fortnite Installera, od vas će se zatražiti da instalirate 2.1.0 (ili noviju) prije instaliranja Fortnitea.
Ako imate verziju 2.1.0 ili noviju, sigurni ste od ove posebne ranjivosti.
Epic Games nije objavio informacije o ovoj ranjivosti, osim potvrde da je popravljen u verziji 2.1.0 instalacijskog programa, tako da ne znamo je li aktivno eksploatiran u divljini. Ako je vaš Fortnite Installer ažuriran, ali vas još uvijek brine je li na vas utjecala ta ranjivost, možete deinstalirati Fortnite i Fortnite Installer, a zatim ponovno proći kroz postupak instalacije kako biste bili sigurni da je vaša Fortnite instalacija zakonita. Možete (i trebali) pokrenuti i skeniranje s Google Play Protectom kako biste se nadali da će prepoznati bilo koji zlonamjerni softver ako je instaliran.
Glasnogovornik Googlea imao je sljedeći komentar na situaciju:
Sigurnost korisnika je naš glavni prioritet, a kao dio proaktivnog nadzora zlonamjernog softvera utvrdili smo ranjivost u instalacijskom programu Fortnite. Odmah smo obavijestili Epic Games i oni su riješili problem.
Epic Games dao je sljedeći komentar generalnog direktora Tima Sweeneyja:
Epic je istinski cijenio Googleov napor da izvrši dubinsku sigurnosnu reviziju Fortnitea odmah nakon objavljivanja na Androidu i podijeli rezultate s Epicom kako bismo mogli brzo izdati ažuriranje kako bismo popravili otkriveni kvar.
Međutim, bilo je neodgovorno od Googlea da tako brzo objavi tehničke detalje propusta, dok mnoga postrojenja još nisu bila ažurirana i još uvijek su ranjiva.
Inženjer zaštite epika, na moj zahtjev, tražio je odgađanje javne objave za uobičajenih 90 dana kako bi se omogućilo širenje ažuriranja. Google je odbio. Sve to možete pročitati na
Napori Googleove sigurnosne analize uvaženi su u korist Android platforme, međutim tvrtka snažna poput Googlea trebala bi prakticirati odgovornije vrijeme objavljivanja od ovoga, a ne ugroziti korisnike tijekom svojih proturparalskih napora protiv Epićeve distribucije Fortnitea izvan Google Playa,
Google je možda preskočio morski pas u mislima Epic-a, ali ovaj je postupak djelovanja jasno slijedio Googleovu politiku objavljivanja ranjivosti od 0 dana.
Što smo naučili iz ovog procesa
Ponovit ću nešto što se već godinama govori na Android Centralu: nevjerojatno je važno instalirati aplikacije samo kompanija i programera u koje imate povjerenja. Ovaj iskorištavanje, koliko god loše bilo, i dalje zahtijeva da imate instaliran i Fortnite Installer i drugu zloćudnu aplikaciju koja bi podnijela zahtjev za preuzimanjem štetnijeg zlonamjernog softvera. Uz ogromnu popularnost Fortnitea, postoji velika mogućnost da se ti krugovi preklapaju, ali to se ne mora dogoditi vama.
Upravo se ta vrsta ranjivosti zabrinula, a dogodila se prvog dana.
Jedna od naših briga od samog početka s odlukom o instaliranju Fortnitea izvan Play Store-a bila je da će popularnost igre nadjačati opći dobar smisao ljudi da se drže Play Store-a za svoje aplikacije. To je vrsta ranjivosti koja bi se vrlo vjerojatno mogla naći u postupku pregleda prelaska na Play Store, a utvrdila bi se prije nego što ju je preuzeo veliki broj ljudi. Uz Google Play Protect na vašem telefonu, Google bi mogao daljinski ubiti i deinstalirati aplikaciju ako je ikad napravi u divljini.
Sa svoje strane, Google je još uvijek uspio uhvatiti tu ranjivost iako se aplikacija ne distribuira putem Play Store-a. Već znamo da Google Play Protect može skenirati aplikacije na vašem telefonu čak i ako su instalirane izravno s interneta ili neke druge trgovine aplikacija, a u ovom slučaju taj je proces podržao talentirani sigurnosni tim na Googleu koji je otkrio ranjivost i izvijestio to programeru. Taj se postupak obično događa u pozadini bez puno fanfara, ali kad govorimo o aplikaciji poput Fortnitea s vjerojatno desecima milijuna instalacija, on pokazuje koliko ozbiljno Google uzima sigurnost u Androidu.
Ažuriranje: Ovaj je članak ažuriran pojašnjenim podacima o eksploataciji, kao i komentarom izvršnog direktora Epic Games-a Tima Sweeneyja.
