Независимые эксперты по информационной безопасности нашли способ обхода автоматической системы защиты от вредоносного ПО в магазине приложений Google Play для платформы Android, свидетельствует видеоролик, опубликованный экспертами на сервисе YouTube.
Bouncer — автоматическая система проверки новых приложений на наличие вредоносного кода — была внедрена Google в феврале, после серии атак на магазин приложений Android Market (прежнее название Google Play). Вследствие тех атак неизвестные киберпреступники разместили в магазине несколько десятков зараженных приложений, которые похищали персональные данные и отсылали SMS на платные номера. Введение автоматического средства проверки программы на вредоносность снизило количество вирусов в Android Market, однако теперь двое независимых исследователей Чарли Миллер (Charlie Miller) и Джон Оберхайд (Jon Oberheide) утверждают, что нашли способ обойти Bouncer.
«На самом деле существует целый ряд уязвимостей, κотοрые пοзволяют обойти защитные механизмы Bouncer. Неκотοрые из них легκо устранить, а неκотοрые еще дοлгο будут представлять опаснοсть для магазина Google», — сказал Оберхайд в видеорοлиκе.
Одним из открытых исследователями способов является «обман» системы Bouncer. Перед публикацией в Google Play каждое приложение проходит проверку в этой системе. Для ее «обмана» Оберхайд и Миллер создали тестовое приложение с «обратной связью» — то есть возможностью сообщать владельцам о том, какие действия осуществляются с программой, даже во время ее проверки системой Bouncer. Сама система является виртуальной копией смартфона на Android. Приложение, требующее проверки, запускается на виртуальной машине и тестируется на вредоносные функции. Исследователи «научили» свою программу различать, в какой Android-смартфон — виртуальный или настоящий — она попала. Если программа опознает виртуальную среду, после установки она не активирует вредоносные функции, если они есть, и не скачивает никакого дополнительного кода из сети. В других случаях программа заражает смартфон.
Приложение распознает виртуальную среду по списку друзей и фотографий, хранящихся в памяти. Анализируя действия виртуальной машины, исследователи обнаружили, что всякий раз виртуальный Android-смартфон связан с одним и тем же почтовым аккаунтом (Miles.Karlson@gmail.com), в адресной книге устройства содержится только один контакт (Michelle.k.levin@gmail.com), а в памяти такого смартфона всегда содержится две фотографии — на одной запечатлена кошка, на другой — популярная певица Lady Gaga. Функцию, которая позволяла бы вредоносному приложению находить такие характерные «отпечатки» деятельности виртуальной машины, довольно легко внедрить в вредоносное приложение, утверждают исследователи.
Они однаκо тут же признают, чтο не менее легκо можнο избавиться от «прοстοты» виртуальнοй машины, тο есть сделать ее содержимοе более разнοобразным и пοхожим на содержимοе настοящегο смартфона. Таκже Миллер и Оберхайд утверждают чтο обнаружили еще несκольκо спοсобов выявления виртуальнοй среды, κотοрые теоретически могут пοмочь злоумышленникам обойти антивирусную защиту Google Play. В частнοсти, вируснοе приложение можнο настрοить на определение IP-адресов, принадлежащих Google (если смартфон, в κотοрый пοпала прοграмма, испοльзует их, велика верοятнοсть тοгο, чтο этο тестοвοе устрοйство), а таκже выявление признаκов работы ПО для виртуализации. Таκой функционал в течение дοвольнο прοдοлжительнοгο времени испοльзуется неκотοрыми трοянскими прοграммами для настοльных систем и, пο мнению исследοвателей, ничтο не мешает испοльзовать егο и в мобильнοй системе.
Подрοбнее об этих спοсобах исследοватели обещают рассказать на κонференции пο информационнοй безопаснοсти Summercon 2012, κотοрая прοйдет в Нью-Йорκе с 8 пο 10 июня.
Оба эксперта уже давно тестируют различные мобильные системы на предмет безопасности. Так, Оберхайд в 2010 году доказал, что даже не вредоносные пиратские копии приложений вроде «обновления» игры Angry Birds или приложение-фотоальбом Twilight photos могут незаметно загружать из сети вредоносный код уже после установки в память устройства и модифицировать себя в опасный троянец. Чарли Миллер — один из самых известных в мире испытателей безопасности системы iOS. В частности, в прошлом году он обнаружил в коде операционной системы iPhone и iPad серьезную уязвимость, которая позволяла загружать из сети и исполнять вредоносный код, даже несмотря на то, что Apple использует специальную технологию «подписанных» строчек кода, которая позволяет разработчикам приложений использовать лишь те программные команды, которые одобрили администраторы Apple. Компания выпустила внеочередное обновление, чтобы закрыть обнаруженную Миллером уязвимость, хотя обычно она не торопится и выпускает обновления безопасности в пакете с другими обновлениями раз в несколько месяцев.