Lỗi trên các ứng dụng cài sẵn khiến hàng triệu thiết bị Android có nguy cơ bị tấn công

[WhiteHat News #ID:3333]

Gần như tất cả các điện thoại Android đều có các ứng dụng được nhà sản xuất hoặc nhà cung cấp cài đặt sẵn, thường được gọi là bloatware. Người sử dụng sẽ không thể làm gì nếu có bất kỳ ứng dụng nào có sẵn backdoor - ngay cả khi người dùng đã rất cẩn thận phòng tránh các ứng dụng không an toàn.
Đây chính xác những gì các nhà nghiên cứu từ công ty Kryptowire đã trình bày tại hội thảo DEF CON hôm thứ sáu vừa qua.

Các nhà nghiên cứu đã công bố chi tiết về 47 lỗ hổng khác nhau bên trong phần mềm và các ứng dụng mặc định (được cài đặt sẵn và hầu như không thể gỡ bỏ) của 25 thiết bị cầm tay Android có thể cho phép tin tặc tấn công người dùng và thiết lập lại thiết bị.
Ít nhất 11 lỗ hổng trên smartphone của các hãng gồm: Asus, ZTE, LG, Essential Phone, và được các nhà mạng như Verizon và AT & T của Hoa Kỳ phân phối.
Các thương hiệu thiết bị cầm tay Android khác bao gồm Vivo, Sony, Nokia và Oppo, cũng như nhiều nhà sản xuất nhỏ hơn như Sky, Leagoo, Plum, Orbic, MXQ, Doogee, Coolpad và Alcatel.
Một số lỗ hổng được phát hiện thậm chí có thể cho phép hacker thực thi các lệnh tùy ý như người dùng hệ thống, xóa tất cả dữ liệu người dùng khỏi thiết bị, khóa người dùng khỏi thiết bị, truy cập microphone của thiết bị và các chức năng khác, truy cập tất cả dữ liệu bao gồm email và tin nhắn, đọc và sửa đổi tin nhắn văn bản, gửi tin nhắn văn bản… mà người dùng hầu như không biết.
"Tất cả những lỗ hổng này được cài đặt trước khi người dùng mua điện thoại", Giám đốc điều hành Kryptowire Angelos Stavrou nói "Điều này khá nguy hiểm vì hầu hết người tiêu dùng nghĩ rằng họ chỉ bị nhiễm nếu họ tải xuống thứ gì đó độc hại".
Ví dụ, lỗ hổng trong Asus ZenFone V Live có thể cho phép tiếp quản toàn bộ hệ thống, cho phép kẻ tấn công chụp ảnh màn hình và ghi lại màn hình của người dùng, thực hiện cuộc gọi điện thoại, gián điệp tin nhắn văn bản và hơn thế nữa.
Kryptowire, công ty có nghiên cứu được Bộ Nội địa Hoa Kỳ tài trợ, giải thích rằng những lỗ hổng này xuất phát từ bản chất mở của hệ điều hành Android cho phép các bên thứ ba như nhà sản xuất thiết bị và nhà cung cấp sửa đổi mã và tạo ra các phiên bản hoàn toàn khác nhau của Android.
Kryptowire là một công ty bảo mật đã phát hiện ra một backdoor được cài đặt sẵn trong hơn 700 triệu điện thoại thông minh Androd, lén lút tìm và gửi tất cả tin nhắn văn bản, nhật ký cuộc gọi, danh sách liên lạc, lịch sử vị trí và dữ liệu ứng dụng đến Trung Quốc 72 giờ một lần .
Kryptowire đã báo cáo các lỗ hổng cho Google và các đối tác Android bị ảnh hưởng, một số trong đó đã vá trong khi những hãng khác đang nhanh chóng tìm cách giải quyết các vấn đề này bằng một bản vá.
Tuy nhiên, cần lưu ý rằng vì bản thân hệ điều hành Android không gặp vấn đề gì với những thông tin được công bố, bởi vậy Google cũng không thể làm gì nhiều bởi không thể kiểm soát được các ứng dụng thứ ba được cài đặt sẵn bởi nhà sản xuất và nhà cung cấp dịch vụ.

Theo: The Hacker News​