49,5% người dùng Android có thể bị tấn công

Gần một nửa hệ thống Android đang tồn tại một lỗ hổng mà thông qua đó tin tặc có thể chiếm quyền kiểm soát quá trình cài đặt ứng dụng nhằm cài đặt để cài đặt thêm các mã độc vào thiết bị.

Các nhà nghiên cứu bảo mật tại Palo Alto Networks vừa tiết lộ một cuộc tấn công có tên Android installer hijacking, khai thác lỗ hổng và cho phép tin tặc khả năng kiểm soát một file ứng dụng (APK) khi cài đặt. “Chúng tôi đã thử thành công khai thác trên Android 2.3, 4.0.3-4.0.4, 4.1.X, và 4.2.x. Theo Android Dashboard, lỗ hổng này ảnh hưởng xấp xỉ 89,4% người dùng Android vào tháng 1 năm 2014 (thời điểm đầu tiên phát hiện) và xấp xỉ 49.5% vào tháng 3 năm 2015.”

Các thiết bị do nhà mạng cung cấp cài đặt Android 4.3 chưa được kiểm tra và có thể tồn tại lỗ hổng. Android phiên bản 4.4 trở lên không bị ảnh hưởng. Tin tặc tiềm năng có thể khai thác lỗ hổng trong hai cách. Chúng có thể dùng một ứng dụng trông có vẻ vô hại để tải ứng dụng độc hại một cách riêng rẽ hoặc chúng có thể buộc người dùng phải tải về trực tiếp một ứng dụng độc hại. APK là định dạng file được sử dụng để cài đặt phần mềm trên hệ điều hành Android. Vì vậy tin tặc có thể lợi dụng APK để cài tùy ý hoặc mã độc vào thiết bị tồn tại lỗ hổng mà người dùng không hề hay biết.

Điều quan trọng cần chú ý là khai thác này chỉ có thể thực hiện trên các ứng dụng tại các kho ứng dụng bên thứ ba. Đảm bảo rằng bạn tải ứng dụng tại Google Play chính thức để bảo vệ thiết bị của mình. Từ bộ nhớ, Android sử dụng PackageInstaller để cài đặt . Khi quá trình cài đặt chuẩn bị bắt đầu, gói tin đang được cài sẽ hiện lên giao diện người dùng gọi là PackageInstallerActivity. Đây là lúc người dùng xác nhận và kiểm tra quyền phù hợp. Tuy nhiên, trong trường hợp bị tấn công, tin tặc có thể lợi dụng để hiển thị sai thông tin trong PackageInstallerActivity.

Palo Alto Networks cho biết họ đang làm việc để tung ra các bản vá cùng với Google, Samsung và Amazon. Google khuyến cáo người dùng nên cập nhật phiên bản 4.3 và cập nhật Amazon AppStore mới nhất.

threatpost