Xiaomi: odkryto groźny backdoor w oprogramowaniu!

Jedną z podstawowych zasad bezpieczeństwa w kontekście zabezpieczenia się przed cyberatakami jest nieinstalowanie aplikacji, których pochodzenia i działania nie jesteśmy pewni. Bardzo często tylko to wystarczy by uchronić się przed pojawieniem się na naszym komputerze bądź smartfonie szkodliwego oprogramowania. Nieco gorzej sytuacja wygląda jednak, jeśli jakiś program może pojawić się w systemie bez naszej wiedzy. Takie sytuacje są jednak stosunkowo rzadkie i szybko nagłaśniane jako poważne luki bezpieczeństwa. Gorzej jednak, kiedy tego typu zagrożenie pojawia się z powodu świadomego działania developerów. Taka sytuacja ma miejsce w wypadku telefonów Xiaomi, w których oprogramowaniu wykryto backdoor pozwalający producentowi na instalację na urządzeniu dowolnej aplikacji bez wiedzy użytkownika.

Mechanizm ten potencjalnie są w stanie wykorzystać hakerzy by zainstalować na telefonie dowolne złośliwe oprogramowanie. Może to nastąpić chociażby w ramach ataku typu man-in-the-middle.

Źródłem backdoora jest aplikacja systemowa "AnalyticsCore.apk". Standardowo służy ona do zbierania szeregu danych statystycznych na temat urządzenia, które później najpewniej wykorzystywane są przez producenta podczas projektowania oprogramowania. Póki co nic niezwykłego. Problem sprawia jedna z funkcji rzeczonej aplikacji. Otóż regularnie co 24h sprawdza ona dostępność aktualizacji na serwerach producenta i jeśli tylko znajdzie nowszą wersję aplikacji "Analytics.apk", jest ona automatycznie pobierana i aktualizowana. Bez ingerencji czy nawet wiedzy użytkownika. Stanowi to o tyle poważny problem, że mechanizm ten potencjalnie są w stanie wykorzystać hakerzy by zainstalować na telefonie dowolne złośliwe oprogramowanie. Może to nastąpić chociażby w ramach ataku typu man-in-the-middle, ponieważ omawiany moduł autoaktualizacji wykorzystuje połączenie nieszyfrowane. Dalsze tłumaczenia są raczej zbędne. Zresztą nawet gdyby wykluczyć zagrożenie ze strony osób trzecich, to sytuacja, w której to producent ma taką możliwość, może budzić spore wątpliwości związane z własnym bezpieczeństwem.

Xiaomi już niedługo może oficjalnie wejść na Polski rynek

W sprawie wypowiedziało się już samo Xiaomi. Co prawda producent urządzeń bagatelizuje sam fakt istnienia takiego mechanizmu tłumacząc, że jest on niezbędny w poprawnym działaniu swoich telefonów, jednak zapowiedział także kroki mające na celu uchronić użytkowników przed atakami hakerów. Służyć temu ma weryfikacja podpisu instalowanej aktualizacji oraz wykorzystanie protokołu HTTPS do procedury aktualizacji. To ostatnie dostępne jest jednak dopiero w MIUI 7.3. Oczywiście nie rozwiązuje to kwestii instalowania dowolnej aplikacji przez samego producenta. Na dzień dzisiejszy specjaliści jako najskuteczniejsze zabezpieczenie przed omawianą luką sugerują zablokowanie za pomocą firewalla wszelkich połączeń z domenami Xiaomi.

Android - Luka w Linuksie umożliwia zdobycie uprawnień root