Съдържание:
- Какво представлява уязвимостта и защо е толкова лоша?
- Как можете да сте сигурни, че сте в безопасност
- Какво научихме от този процес
Google публично разкри, че откри изключително сериозна уязвимост в първия инсталатор на Android за Fortnite за Android, който позволява на всяко приложение на вашия телефон да изтегля и инсталира всичко на заден план, включително приложения с предоставени пълни разрешения, без знанието на потребителя. Екипът по сигурността на Google за първи път разкрива уязвимостта частно на Epic Games на 15 август и оттогава публикува информацията публично след потвърждение от Epic, че уязвимостта е била коригирана.
Накратко, това беше точно този тип експлоатация, която Android Central и други се страхуваха да се появят при този вид инсталационна система. Ето какво трябва да знаете за уязвимостта и как да сте сигурни, че ще продължите напред.
Какво представлява уязвимостта и защо е толкова лоша?
Когато отидете да изтеглите „Fortnite“, всъщност не изтегляте цялата игра, първо изтегляте Fortnite Installer. Fortnite Installer е просто приложение, което изтегляте и инсталирате, което впоследствие изтегля пълната игра Fortnite директно от Epic.
Fortnite Installer беше лесно използваем, за да отвлече заявката за изтегляне на пълната игра.
Проблемът, както екипът за сигурност на Google откри, беше, че Fortnite Installer е много лесно използваем, за да отвлече заявката за изтегляне на Fortnite от Epic и вместо това да изтеглите всичко, когато докоснете бутона, за да изтеглите играта. Това е това, което е известно като атака "човек в диска": приложение на телефона ви търси искания за изтегляне на нещо от интернет и прихваща това искане вместо това да изтеглите нещо друго, непознато за оригиналното приложение за изтегляне. Това е възможно чисто защото инсталаторът на Fortnite е проектиран неправилно - Fortnite Installer няма идея, че просто е улеснил изтеглянето на зловреден софтуер и натискането на "стартиране" дори стартира злонамерения софтуер.
За да бъдете експлоатирани, трябва да имате инсталирано приложение на телефона си, което да търси такава уязвимост - но като се има предвид популярността на Fortnite и очакването на изданието, е много вероятно да има неподходящи приложения, които са прави точно това. Много пъти злонамерените приложения, които са инсталирани на телефони, нямат нито един подвиг върху тях, те имат цял полезен товар, пълен с много известни уязвимости за тестване и този тип атака може да бъде една от тях.
С едно докосване можете да изтеглите злонамерено приложение, което има пълни разрешения и достъп до всички данни на вашия телефон.
Ето къде нещата стават наистина зле. Поради начина, по който работи моделът на разрешенията на Android, няма да се налага да приемате инсталация на приложение от „неизвестни източници“ извън времето, когато сте приели тази инсталация за Fortnite. Поради начина, по който работи този експлоататор, по време на инсталацията няма индикация, че изтегляте нещо различно от Fortnite (и Fortnite Installer също няма знания), докато на заден план се инсталира съвсем различно приложение. Всичко това се случва в рамките на очаквания поток от инсталирането на приложението от Fortnite Installer - приемате инсталацията, защото смятате, че инсталирате играта. По-специално на телефоните на Samsung, които получават приложението от Galaxy Apps, нещата са малко по-лоши: няма дори първа подкана за разрешаване от „неизвестни източници“, защото Galaxy Apps е известен източник. По-нататък това приложение, което току-що е инсталирано безшумно, може да декларира и да получи всяко възможно разрешение без вашето допълнително съгласие. Няма значение дали имате телефон с Android Lollipop или Android Pie или дали сте изключили „неизвестни източници“ след инсталирането на Fortnite Installer - веднага щом го инсталирате, потенциално може да бъдете атакувани.
Страницата на Google за издаване на проследяване на експлоатацията има бърз запис на екрана, който показва колко лесно потребителят може да изтегли и инсталира Fortnite Installer, в случая от Galaxy Apps Store, и смята, че те изтеглят Fortnite, а вместо това изтеглят и инсталират злонамерен приложение, с пълни разрешения - камера, местоположение, микрофон, SMS, съхранение и телефон - наречено „Fortnite“. Това отнема няколко секунди и никакво взаимодействие с потребителя.
Да, това е доста лошо.
Как можете да сте сигурни, че сте в безопасност
За щастие, Epic действа бързо, за да коригира подвига. Според Epic, експлоатацията е фиксирана по-малко от 48 часа след като е била уведомена и е била внедрена във всеки инсталатор на Fortnite, който е бил инсталиран преди това - потребителите просто трябва да актуализират инсталатора, което е афера с едно натискане. Fortnite Installer, който донесе поправката, е версия 2.1.0, която можете да проверите, като стартирате Fortnite Installer и отидете на неговите настройки. Ако по някаква причина трябва да изтеглите по-ранна версия на Fortnite Installer, тя ще ви подкани да инсталирате 2.1.0 (или по-нова версия), преди да инсталирате Fortnite.
Ако имате версия 2.1.0 или по-нова версия, вие сте в безопасност от тази конкретна уязвимост.
Epic Games не са пуснали информация за тази уязвимост извън потвърждаването, че тя е била фиксирана във версия 2.1.0 на инсталатора, така че не знаем дали тя е била активно експлоатирана в природата. Ако вашият Fortnite Installer е актуален, но все още се притеснявате дали сте засегнати от тази уязвимост, можете да деинсталирате Fortnite и Fortnite Installer, след което отново да преминете през инсталационния процес, за да сте сигурни, че вашата инсталация Fortnite е законна. Можете също така (и трябва) да стартирате сканиране с Google Play Protect, за да се надяваме да идентифицирате всеки злонамерен софтуер, ако е бил инсталиран.
Говорителят на Google имаше следния коментар за ситуацията:
Сигурността на потребителите е наш основен приоритет и като част от нашия активен мониторинг за злонамерен софтуер установихме уязвимост в инсталатора на Fortnite. Веднага уведомихме Epic Games и те отстраниха проблема.
Epic Games предостави следния коментар от изпълнителния директор Тим Суини:
Epic истински оцени усилията на Google да извърши задълбочен одит за сигурност на Fortnite веднага след издаването ни на Android и да сподели резултатите с Epic, за да можем бързо да издадем актуализация, за да отстраним недостатъка, който откриха.
Въпреки това бе безотговорно Google да публикува толкова бързо техническите подробности за недостатъка, докато много инсталации все още не бяха актуализирани и все още бяха уязвими.
По мое настояване инженер по сигурността на Epic поиска от Google да забави публичното оповестяване с типичните 90 дни, за да даде време за по-широко инсталиране на актуализацията. Google отказа. Можете да прочетете всичко на
Усилията на Google за анализ на сигурността се оценяват и се възползват от платформата Android, но компания толкова мощна, колкото Google трябва да практикува по-отговорно време за разкриване от това и да не застрашава потребителите в хода на своите усилия за PR-връзки срещу разпространението на Epic на Fortnite извън Google Play,
Google може да е скочила акулата в съзнанието на Epic, но този ход на действие ясно следва политиката на Google за разкриване на уязвимости от 0 дни.
Какво научихме от този процес
Ще повторя нещо, което се казва на Android Central вече години: невероятно важно е да инсталирате приложения само от компании и разработчици, на които имате доверие. Този експлоатация, колкото и лошо да е, все още изисква инсталирането на Fortnite Installer и друго злонамерено приложение, което би направило заявката за изтегляне на по-вреден зловреден софтуер. С огромната популярност на Fortnite има голяма възможност тези кръгове да се припокриват, но не е нужно да ви се случва.
Това е точно онзи вид уязвимост, за който се тревожехме и това се случи на първия ден.
Едно от нашите притеснения от самото начало при решението да се инсталира Fortnite извън Play Store беше, че популярността на играта ще надвие общия разум на хората да се придържат към Play Store за техните приложения. Това е видът на уязвимостта, който много вероятно ще бъде засечен в процеса на преглед на навлизането в Play Store и ще бъде фиксиран преди всеки голям брой хора да го изтеглят. И с Google Play Protect на вашия телефон, Google ще може да убие и деинсталира дистанционно приложението, ако някога го направи в природата.
От своя страна Google все пак успя да улови тази уязвимост, въпреки че приложението не се разпространява през Play Store. Вече знаем, че Google Play Protect е в състояние да сканира приложения на телефона ви, дори ако те са били инсталирани директно от мрежата или друг магазин за приложения и в този случай този процес беше подкрепен от талантлив екип по сигурността в Google, който откри уязвимостта и отчете го към разработчика. Този процес обикновено се случва на заден план без много фанфари, но когато говорим за приложение като Fortnite с вероятно десетки милиони инсталации, той показва колко сериозно Google приема сигурността в Android.
Актуализация: Тази статия е актуализирана с изяснена информация за експлоатацията, както и коментар от изпълнителния директор на Epic Games Тим Суини.
