Android Installer Hijacking

Android Installer Hijacking — уязвимость в операционных системах семейства Google Android, позволяющая злоумышленникам перехватывать управление процессом установки программ из .APK-файла и размещать таким образом на атакуемом устройстве произвольное вредоносное приложение. Ей подвержены версии операционных систем Android 2.3, 4.0.3–4.0.4, 4.1.X, 4.2.X, а также некоторые предустановленные на устройства редакции Android 4.3. Операционные системы Google Android версии 4.4 и старше данной уязвимости не содержат.

В момент установки приложения из .APK-файла на дисплее устройства демонстрируется список запрашиваемых данной программой системных разрешений, перечисленный в так называемом «манифесте» приложения. Используя уязвимость Android Installer Hijacking, в процессе установки злоумышленники могут незаметно заменить любую программу, которой пользователь доверяет, произвольным вредоносным приложением. Оно, в свою очередь, может получить доступ к хранящимся на инфицированном устройстве конфиденциальным данным.

Пользователь не подвергает свое устройство опасности, если скачивает приложения из источников, использующих защищенные хранилища .APK-файлов, к которым злоумышленники не имеют доступа (например, каталог Google Play). Фактически, уязвимость может сработать только если пользователь устанавливает приложение сам, загрузив его из неофициальных источников.

Антивирус Dr.Web для Android распознает и успешно удаляет вредоносные программы, использующие уязвимость Android Installer Hijacking, еще при попытке их установки на атакуемое устройство, поэтому пользователи антивирусного ПО Dr.Web надежно защищены от подобных троянских программ.

Технические подробности

Дистрибутивы программ для операционной системы Google Android представляют собой файлы с расширением .APK, которые по своей сути являются обычным ZIP-архивом. Установка приложения выполняется с использованием специального инструмента PackageInstaller. В момент начала установки приложения данная утилита разбирает содержимое APK-пакета, извлекая из него важную информацию (такую как имена файлов, требуемые разрешения и т. д.), после чего ключевые данные демонстрируются на дисплее в виде экрана PackageInstallerActivity. На этом экране отображается запрос о том, действительно ли пользователь желает установить данное приложение, а также перечисляются разрешения, которые требуются для инсталлируемой программы. Сам процесс установки запускается по нажатию на кнопку «Установить».

Уязвимость заключается в том, что в момент, когда пользователь изучает содержимое экрана PackageInstallerActivity, злоумышленники могут подменить сохраненный в незащищенном хранилище на устройстве .APK-файл любым другим приложением. Благодаря допущенной разработчиками ошибке, PackageInstaller не проверяет приложение, запускаемое по нажатию на кнопку «Установить», вследствие чего на устройстве может быть установлена любая программа с набором разрешений, отличным от того, который демонстрируется на экране PackageInstallerActivity.

Читайте также описания других уязвимостей