Kiểu tấn công mới Man-in-the-Disk có thể ảnh hưởng đến hàng triệu điện thoại Android

[WhiteHat News #ID:2112]

Một cách thức tấn công mới nhắm vào hệ điều hành Android có khả năng cho phép kẻ tấn công âm thầm lây nhiễm điện thoại thông minh bằng các ứng dụng độc hại hoặc khởi động tấn công từ chối dịch vụ.

Được gọi là Man-in-the-Disk, cuộc tấn công lợi dụng cách các ứng dụng Android sử dụng hệ thống 'External Storage’ (Bộ nhớ ngoài) để lưu trữ dữ liệu liên quan đến ứng dụng, nếu bị giả mạo có thể dẫn đến việc tiêm mã độc trong ngữ cảnh đặc quyền của ứng dụng mục tiêu.

Cần lưu ý rằng các ứng dụng trên hệ điều hành Android có thể lưu trữ tài nguyên trên thiết bị ở hai vị trí — bộ nhớ trong và bộ nhớ ngoài.

Bản thân Google kêu gọi và cung cấp hướng dẫn cho các nhà phát triển ứng dụng Android sử dụng bộ nhớ trong, một không gian riêng biệt phân bổ cho mỗi ứng dụng được bảo vệ bằng sandbox tích hợp của Android, để lưu trữ các tập tin hoặc dữ liệu nhạy cảm.

Tuy nhiên, các nhà nghiên cứu tại Check Point nhận thấy nhiều ứng dụng phổ biến, bao gồm cả Google Translate, cùng với Yandex Translate, Google Voice Typing, Google Text-to-Speech, Trình duyệt Xiaomi — đang sử dụng bộ nhớ ngoài không được bảo vệ có thể bị truy cập bằng bất kỳ ứng dụng nào được cài đặt trên cùng một thiết bị.

Tấn công Man-in-the-Disk hoạt động như thế nào?

Tương tự như tấn công "man-in-the-middle", khái niệm tấn công "man-in-the-disk" (MitD) liên quan đến việc chặn và thao tác dữ liệu được trao đổi giữa bộ nhớ ngoài và ứng dụng, nếu được thay thế bằng một phái sinh tự tạo cẩn thận "sẽ dẫn đến kết quả có hại".

Ví dụ, các nhà nghiên cứu nhận thấy rằng trình duyệt web Xiaomi tải phiên bản mới nhất của mình xuống bộ nhớ ngoài của thiết bị trước khi cài đặt bản cập nhật. Vì ứng dụng không xác thực tính toàn vẹn của dữ liệu, mã cập nhật hợp lệ của ứng dụng có thể bị thay thế bằng mã độc hại.

"Trình duyệt Xiaomi được phát hiện đang sử dụng External Storage như một tài nguyên staging cho các bản cập nhật ứng dụng… Kết quả là, chúng tôi có thể thực hiện một cuộc tấn công mà mã cập nhật của ứng dụng đã được thay thế, dẫn đến việc cài đặt một ứng dụng không mong muốn thay vì cập nhật hợp lệ".

Theo cách này, kẻ tấn công có thể ở vào vị trí man-in-the-disk, từ đó có thể giám sát dữ liệu được truyền giữa bất kỳ ứng dụng nào khác trên điện thoại thông minh của người dùng và bộ nhớ ngoài và ghi đè lên bằng phiên bản độc hại để thao túng hoặc crash các ứng dụng đó.

Cuộc tấn công cũng có thể bị lạm dụng để cài đặt một ứng dụng độc hại khác mà người dùng không biết, có thể sử dụng để leo thang đặc quyền và truy cập vào các phần khác của thiết bị Android như máy ảnh, micro, danh sách liên hệ và hơn thế nữa.

Video minh họa tấn công Man-in-the-Disk

Các nhà nghiên cứu của Check Point cũng đã thử nghiệm xâm nhập vào các tập tin và crash Google Translate, Google Voice-to-Text và Yandex Translate vì các ứng dụng đó cũng không xác thực tính toàn vẹn của dữ liệu được sử dụng từ bộ nhớ ngoài của Android.

Các ứng dụng mà các nhà nghiên cứu đã thử nghiệm cho cuộc tấn công MitD mới này là Google Translate, Yandex Translate, Google Voice Typing, LG Application Manager, LG World, Google Text-to-Speech và Xiaomi Browser.

Bản thân Google không tuân thủ các nguyên tắc bảo mật của mình, đã thừa nhận và vá lỗi cho một số ứng dụng bị ảnh hưởng và đang trong quá trình vá các ứng dụng bị ảnh hưởng khác, Check Point cho biết.

Các nhà nghiên cứu cũng tiếp cận các nhà phát triển của các ứng dụng bị ảnh hưởng khác, nhưng một số, bao gồm Xiaomi, từ chối khắc phục vấn đề này.

Các nhà nghiên cứu nhấn mạnh rằng họ chỉ thử nghiệm một số ít ứng dụng chính và do đó cho rằng vấn đề ảnh hưởng đến số lượng lớn ứng dụng Android so với những gì họ đã ghi nhận, khiến hàng triệu người dùng Android có thể dễ bị tấn công mạng.

Theo The Hacker News​