Wada w aplikacji Google (nazywanej „Google”) dla Android została odkryta przez eksperta ds. bezpieczeństwa aplikacji i może pozwolić atakującemu na kradzież danych osobowych z urządzenia bez żadnego wysiłku. Luka ma związek ze sposobem, w jaki aplikacja Google'a polega na importowaniu kodu w celu uruchomienia.

Wiele aplikacji na Androida, w tym aplikacja Google, zmniejsza rozmiar pobierania i przestrzeń dyskową wymaganą do uruchomienia, polegając na bibliotekach kodu, które są już zainstalowane na telefonach z systemem operacyjnym. Odkryto lukę w zabezpieczeniach (i opublikowano) autorstwa Siergieja Toshina, założyciela startupu Oversecured zajmującego się bezpieczeństwem aplikacji mobilnych, wykazało, że aplikację można oszukać i tak zmusić do pobrania biblioteki kodów ze złośliwej aplikacji na to samo urządzenie, na którym była uruchomiona, zamiast pobierania legalnej biblioteki kodów.

Jakie skutki może mieć luka w zabezpieczeniach

Więc złośliwa aplikacja odziedziczyłby uprawnienia aplikacji Google, uzyskując w ten sposób niemalże całkowity dostęp do danych użytkownika, w tym dostęp do kont tej osoby. Atakujący miałby dostęp do danych osobowych, takich jak historia wyszukiwania, e-mail, wiadomości tekstowe, kontakty i historia połączeń.

Co więcej, luka w zabezpieczeniach aplikacji Google umożliwiła nieautoryzowany dostęp do mikrofonu i kamery urządzenia, a także do lokalizacji użytkownika, bez zgody ofiary. Co gorsza, usunięcie złośliwej aplikacji nie usunęłoby złośliwych komponentów z aplikacji Google, według Toshina.

Ekspert ds. bezpieczeństwa powiedział, że luka w zabezpieczeniach aplikacji Google jest podobna do innego błędu odkrytego przez startup TikTok na początku tego roku które, jeśli zostaną wykorzystane, mogą zostać wykorzystane przez cyberprzestępców do kradzieży tokenów sesji użytkownika w sieci społecznościowej w celu przejęcia kont. Rzecznik Google powiedział, że firma załatała lukę w zabezpieczeniach w zeszłym miesiącu i nie ma dowodów na to, że luka została wykorzystana przez atakujących.

Przez TechCrunch

Zdjęcie: Torsten Dettlaff/Pexels/CC