माइक्रोसॉफ्ट डिफेंडर सिक्योरिटी रिसर्च टीम द्वारा हाल ही में प्रकाशित एक रिपोर्ट के अनुसार, एक लोकप्रिय थर्ड-पार्टी एंड्रॉइड सॉफ्टवेयर डेवलपमेंट किट (SDK) में एक गंभीर खामी ने करोड़ों क्रिप्टोकरेंसी वॉलेट को डेटा चोरी के प्रति संवेदनशील बना दिया था।
इस खामी ने दुर्भावनापूर्ण एप्लिकेशन को एंड्रॉइड के मुख्य सुरक्षा सैंडबॉक्स को बायपास करने की अनुमति दी है।
इस खामी ने विभिन्न प्रकार के एप्लिकेशन को प्रभावित किया है। संग्रहित डेटा के उच्च-मूल्य स्वभाव के कारण, क्रिप्टोकरेंसी और डिजिटल वॉलेट इकोसिस्टम को इस खामी का सबसे अधिक नुकसान हुआ।
माइक्रोसॉफ्ट ने प्रभावित थर्ड-पार्टी क्रिप्टो वॉलेट एप्लिकेशन के 3 करोड़ से अधिक इंस्टॉलेशन की पहचान की। कुल जोखिम 5 करोड़ इंस्टॉलेशन से अधिक था।
यदि इसका फायदा उठाया जाता, तो यह भेद्यता व्यक्तिगत पहचान योग्य जानकारी (PII), निजी उपयोगकर्ता क्रेडेंशियल और संवेदनशील वित्तीय डेटा को उजागर कर सकती थी जो प्रभावित ऐप की निजी डायरेक्टरी में गहराई से संग्रहीत था।
सौभाग्य से, माइक्रोसॉफ्ट ने नोट किया कि यह सुझाव देने के लिए वर्तमान में कोई सबूत नहीं है कि इस भेद्यता का कभी भी वास्तविक दुनिया में दुर्भावनापूर्ण तत्वों द्वारा सक्रिय रूप से फायदा उठाया गया था।
एन्गेज लैब SDK डेवलपर्स द्वारा पुश नोटिफिकेशन और रियल-टाइम इन-ऐप मैसेजिंग को प्रबंधित करने के लिए उपयोग किया जाने वाला एक उपकरण है। सुरक्षा खामी का पता एक विशिष्ट घटक (MTCommonActivity) से चला जो बिल्ड प्रक्रिया के बाद स्वचालित रूप से एप्लिकेशन के बैकग्राउंड कोड में जोड़ा गया था।
चूंकि यह घटक व्यापक रूप से निर्यात किया गया था, यह उसी एंड्रॉइड डिवाइस पर इंस्टॉल किए गए अन्य एप्लिकेशन के लिए सुलभ हो गया।
उसी डिवाइस पर इंस्टॉल किया गया एक दुर्भावनापूर्ण ऐप एक हेरफेर किया गया संदेश (एक "इंटेंट") बना सकता था और उसे कमजोर क्रिप्टो वॉलेट ऐप पर भेज सकता था।
वॉलेट ऐप इस इंटेंट को अपनी स्वयं की विश्वसनीय पहचान और अनुमतियों का उपयोग करके संसाधित करेगा।
इसने वॉलेट को दुर्भावनापूर्ण ऐप को अपनी निजी डेटा डायरेक्टरी तक स्थायी रूप से पढ़ने और लिखने की अनुमति देने के लिए धोखा दिया।
खतरे को कम करने के लिए एंड्रॉइड इकोसिस्टम में तत्काल कार्रवाई की गई।
