Дыра безопасности в Android-смартфонах от HTC

[iFaz[Kiev]]

Суть проблемы.

Аналитик Тревор Экхарт с ресурса Androidpolice.com обнаружил ряд серьёзных уязвимостей в недавних OTA-обновлениях ПО новейших Android-смартфонов от HTC, в том числе EVO 3D и Sensation. Уязвимости позволяют любому приложению, имеющему разрешение на доступ в интернет (android.permission.internet), собирать и передавать личные данные пользователя, в том числе:

• список учётных записей, включающий адреса e-mail и статусы синхронизации для каждого аккаунта;
• местоположение устройства: список координат, полученных c GPS-приёмника и с помощью триангуляции по базовым станциям сотового оператора;
• список телефонных номеров, с/на которые осуществлялись вызовы;
• данные СМС: номера телефонов и зашифрованный текст сообщений (пока нет уверенности в том, что он может быть расшифрован, но это весьма вероятно);
• системные лог-файлы из /kernel/dmesg и /app/logcat, которые содержат записи об активности всех установленных приложений и, возможно, сведения об использующихся электронных адресах, телефонных номерах и других личных данных;
• список установленных приложений, содержащий разрешения (permissions) и номера версий каждого из них;
• список запущенных приложений и служб, их текущее состояние;
• дампы памяти выполняющихся системных процессов;
• текст активных в данный момент уведомлений;
• сведения о процессоре, оперативной памяти, радиомодуле, состоянии батареи, версии ядра и загрузчика.

Как утверждает Тревор, имеющихся данных вполне достаточно, чтобы программно "клонировать" устройство.

Подробности

Аналитик подчеркивает, что эти уязвимости не являются случайной ошибкой в коде, а вызваны либо халатностью, либо злым умыслом HTC, поместившей в свои устройства целую подсистему сбора личной информации и при этом не обеспечившей ее защиту от доступа извне.

This is the hidden content, please

• Войти
• или
• Регистрация

Помимо программы Carrier IQ, собирающей для HTC пользовательские данные, в новых прошивках также присутствует приложение HtcLoggers.apk, не только имеющее доступ ко всей вышеперечисленной информации, но и способное предоставить её любому неавторизованному пользователю по запросу на локальный порт 65511, при этом не требуется никаких специальных разрешений, кроме доступа в интернет (это разрешение, помимо всего прочего, позволит передать полученные данные куда и кому угодно).

Следует заметить, что HtcLoggers.apk пытается использовать права суперпользователя для расширенного доступа к данным, и может запускать некий процесс htcserviced, поэтому пользователи рутованных устройств подвергаются повышенному риску утечек информации. Однако, имея доступ к файловой системе девайса, они могут самостоятельно прикрыть «дыру» в системе безопасности (об этом ниже).

Крайне подозрительным является также следующий факт: в последние версии прошивок HTC включила приложение androidvncserver.apk (VNC – известная система организации удалённого доступа), причём прошивка EVO 3D содержала его изначально. Приложение не запускается автоматически, но неизвестно, при каких условиях оно может начать работу и кому оно может предоставить доступ к UI.

Готовая программа для проверки

Чтобы избежать обвинений в голословности, Экхарт написал демонстрационное приложение, эксплуатирующее указанную уязвимость, и протестировал его на нерутованном HTC EVO 3D, а позже – и на других коммуникаторах.

Как видно, его программа, имея разрешение только на доступ в интернет, легко получает множество приватных пользовательских данных.

This is the hidden content, please

• Войти
• или
• Регистрация

This is the hidden content, please

• Войти
• или
• Регистрация

Любой желающий может скачать программу

This is the hidden content, please

• Войти
• или
• Регистрация

или

This is the hidden content, please

• Войти
• или
• Регистрация

, чтобы проверить, имеет ли его девайс от HTC подобную уязвимость.

Группа риска

В группе риска находятся следующие коммуникаторы: EVO 3D, EVO 4G, EVO Shift 4G, Thunderbolt, MyTouch 4G Slide, Sensation (не все устройства). Список, очевидно, неполон и будет дополняться по мере поступления отзывов пользователей, установивших демонстрационное приложение для проверки своих девайсов.

Как бороться?

Если ваше устройство не рутовано – никак, остаётся только ждать «заплатки», устраняющей описанную уязвимость. В том случае, если root-доступ имеется, можно удалить HtcLoggers.apk из папки /system/app c помощью Root Explorer или аналогичного файл-менеджера. От слежки со стороны самой HTC это, впрочем, не избавит.

Данной уязвимости, по понятной причине, не подвержены смартфоны, использующие кастомные прошивки вроде Cyanogenmod или MIUI.

Quietly brilliant

Тревор Экхарт, обнаружив уязвимость и изучив её, 24-го сентября отправил компании HTC подробный отчёт о проблеме, сначала не предав его гласности. Однако, не получив никакого ответа в течение пяти рабочих дней, он был вынужден выложить информацию в Сеть и не просчитался. По информации Engadget.com, тайваньский вендор тут же отреагировал следующим заявлением: «HTC очень серьёзно относится к информационной безопасности наших потребителей, мы работаем, чтобы как можно скорее разобраться с данной проблемой. Мы выпустим обновление, как только подтвердится, что жалоба пользователя обоснована, и мы поймём, какие действия нам потребуется предпринять (если вообще необходимо что-либо предпринимать)».

via 4pda

[Slavon]

Если инет не включен, то ничего не случиться. Большинство всегда включают попкорес или другие виды коннекта только на время использования... в целях экономии так сказать. Да и бояться то особо нечего, кому мы нужны...

Кстати, новость не новая.

[iFaz[Kiev]]

Если инет не включен, то ничего не случиться. Большинство всегда включают попкорес или другие виды коннекта только на время использования... в целях экономии так сказать. Да и бояться то особо нечего, кому мы нужны...

Кстати, новость не новая.

Ну да, только не все отключают такие телефоны часто покупают ( в Европе и Штатах, а вдруг и у нас есть такие, если хоть кому данная информация окажется полезной - буду рад

This is the hidden content, please

• Войти
• или
• Регистрация

default/smile.gif ) как корпоративные устройства, но которых много информации о компании и тд. А она стоит дорого.

Естественно информация о данной дыре уже какое-то время лежит в сети, просто решил поделиться ей и на нашем форуме

Для воровства смс и всякой чепухи "золотой молодежи" , которая с устройством за 500-700 баксов считает каждый мб трафика , его никто использовать не будет.

[chupa5]

Во блин, только что надыбал случайно эту новость, а у меня как раз EVO 3D. Теперь я под колпаком! Хотя недели 3 назад выходило обновление, может исправили. Караул, что в мире творится! )))))

[Slavon]

а у меня как раз EVO 3D

Ну значит в мусор его ) А вообще не стоит даже думать о таком, это всё предрассудки )

[iFaz[Kiev]]

chupa5 сделай root и удали HtcLoggers.apk , и все