Poważna luka w popularnym zestawie deweloperskim oprogramowania (SDK) dla Androida, pochodzącym od strony trzeciej, naraziła dziesiątki milionów portfeli kryptowalutowych na kradzież danych – wynika z nowo opublikowanego raportu Zespołu Badawczego ds. Bezpieczeństwa Microsoft Defender.
Usterka umożliwiła złośliwym aplikacjom ominięcie podstawowej piaskownicy bezpieczeństwa Androida.
Luka dotknęła szeroki zakres aplikacji. Ekosystem kryptowalut i portfeli cyfrowych najbardziej odczuł skutki narażenia ze względu na wysoką wartość przechowywanych danych.
Microsoft zidentyfikował ponad 30 milionów instalacji dotkniętych aplikacji portfeli kryptowalutowych firm trzecich. Całkowite narażenie przekroczyło 50 milionów instalacji.
W przypadku wykorzystania, luka mogła narazić dane osobowe identyfikowalne (PII), prywatne dane uwierzytelniające użytkowników oraz wrażliwe dane finansowe przechowywane głęboko w prywatnych katalogach dotkniętej aplikacji.
Na szczęście Microsoft zauważył, że obecnie nie ma dowodów sugerujących, że ta luka była kiedykolwiek aktywnie wykorzystywana przez cyberprzestępców w praktyce.
EngageLab SDK to narzędzie wykorzystywane przez deweloperów do zarządzania powiadomieniami push i wiadomościami w aplikacji w czasie rzeczywistym. Luka bezpieczeństwa została wyśledzona do specyficznego komponentu (MTCommonActivity), który był automatycznie dodawany do kodu działającego w tle aplikacji po procesie kompilacji.
Ponieważ ten komponent był szeroko eksportowany, stał się dostępny dla innych aplikacji zainstalowanych na tym samym urządzeniu z Androidem.
Złośliwa aplikacja zainstalowana na tym samym urządzeniu mogła stworzyć spreparowaną wiadomość ("intencję") i wysłać ją do podatnej aplikacji portfela kryptowalutowego.
Aplikacja portfela przetworzyłaby tę intencję, używając własnej zaufanej tożsamości i uprawnień.
Oszukało to portfel, by przyznał złośliwej aplikacji stały dostęp do odczytu i zapisu do jego prywatnych katalogów danych.
W ekosystemie Androida podjęto szybkie działania w celu złagodzenia zagrożenia.
