Помилка Android дозволяє хакерам впроваджувати шкідливе ПЗ через NFC

Минулого місяця Google виправив помилку в Android, яка дозволяє хакерам поширювати шкідливе ПЗ через NFC beaming. Вона працює через внутрішній сервіс Android, відомий як Android Beam. Ця послуга дозволяє пристрою відправляти дані, такі як зображення, файли, відео або навіть програми, на інший пристрій поруч, використовуючи радіохвилі NFC (Near-Field Communication), як альтернативу Wi-Fi або Bluetooth.

Як правило, програми (файли APK), відправлені за допомогою NFC, зберігаються на диску, а на екрані відображається повідомлення. Воно запитує власника пристрою, чи хоче він дозволити службі NFC встановлювати програму з невідомого джерела. Але в січні цього року було виявлено, що програми, надіслані через NFC на Android 8 Oreo або новіших версіях, не відображатимуть це питання. Замість цього, повідомлення дозволить користувачеві встановити програму одним натиском без попередження системи безпеки.

Хоча відсутність питання може здатись неважливим аспектом – це досить серйозна проблема в моделі безпеки Android. Пристроям з ОС Google забороняється встановлювати програми з «невідомих джерел». Оскільки все, що встановлено ззовні офіційного магазину Google Play, вважається ненадійним і неперевіреними. Якщо користувачі хочуть встановити додаток з-за меж Google Play, вони повинні активувати відповідну функцію у розділі «Встановлення програм з невідомих джерел».

До Android 8 Oreo цей параметр був загальносистемним і однаковим для всіх додатків. Але, починаючи з Android 8 Oreo, Google переробив цей механізм в налаштування програми. У сучасних версіях Android користувачі можуть відвідати розділ «Встановлення невідомих додатків» в налаштуваннях безпеки і дозволити певним програмам встановлювати інші.

Android Beam + NFC

Помилка CVE-2019-2114 полягала в тому, що Android Beam також було занесено в білий список і він отримував той же рівень довіри, що і офіційний додаток Google Play. Корпорація зазначила, що цього не повинно було статися, оскільки сервіс Android Beam ніколи не призначався для встановлення додатків, а тільки для передачі даних між пристроями. Жовтневе оновлення безпеки 2019 року прибрали Android Beam з білого списку надійних джерел ОС.

Проте, не один мільйон користувачів залишаються в небезпеці. Якщо у користувачів включений NFC і Android Beam, то зловмисник може скористатись цим для поширення шкідливого ПЗ. Оскільки немає запиту на встановлення з невідомого джерела, натискання на повідомлення запускає встановлення шкідливої програми. Існує небезпека, що багато користувачів можуть невірно витлумачити повідомлення, яке прийшло з Google Play і встановити додаток, думаючи, що це звичайне оновлення.

Є хороша і погана новини. Погана новина полягає в тому, що функція NFC включена за замовчуванням на більшості нових пристроїв. Деякі власники Android-смартфонів можуть навіть не і знати, що NFC включений. Але добра новина у тому, що NFC-з’єднання відбувається тільки тоді, коли два пристрої розташовані поруч один з одним на відстані 4 см або менше. Це означає, що зловмисник може перекинути шкідливе ПЗ через NFC тільки якщо піднесе свій пристрій до смартфона жертви, що не завжди можливо. З метою безпеки будь-який користувач може відключити як NFC, так і Android Beam. Якщо ви використовуєте смартфон для безконтактних платежів, то можете залишити NFC включеним, але при цьому відключити Android Beam. Це блокує передачу файлу по NFC, але дозволяє інші операції, на кшталт оплати.