Grupa badawcza z należącego do Google'a zespołu Project Zero odkryła tzw. "lukę dnia zerowego" w systemie Android. Chodzi o podatność, która potencjalnie naraża użytkowników wielu modeli smartfonów na to, że odpowiednio zdeterminowani przestępcy są w stanie przejąć zdalnie całkowitą kontrolę nad urządzeniem mobilnym.

Wykryta luka jest o tyle groźna, że umożliwia przejęcie kontroli nad urządzeniem mobilnym na poziomie roota praktycznie bez konieczności jakiejkolwiek personalizacji ataku wykorzystującego odkrytą podatność systemu Android. Zgodnie z wpisem Maddie Stone z Project Zero luka ta mogła być wykorzystana przez izraelską firmę NSO Group specjalizującą się w cyberbezpieczeństwie. Atak wykorzystujący odkrytą lukę w systemie Android może być przeprowadzony na dwa sposoby: pierwszy wymaga, by użytkownik podatnego smartfona zainstalował aplikację z niezaufanego źródła, druga metoda to atak kombinowany wykorzystujący dodatkową lukę w kodzie mobilnej przeglądarki Google Chrome.

Luka umożliwia nieautoryzowane zwiększenie lokalnych przywilejów w systemie urządzenia ofiary, a to oznacza praktycznie pełny dostęp do urządzenia, na którym przeprowadzenie ataku się powiedzie. Rozwiązaniem problemu jest jak najszybsze zainstalowanie aktualizacji. Pakiety aktualizacyjne będą rozsyłane od dziś, tj. wtorku, 8 października. Na wykrytą podatność narażona jest dość liczna grupa użytkowników popularnych smartfonów. Poniżej lista modeli, które do czasu aktualizacji będą podatne na atak wykorzystujący wykryty błąd w Androidzie:

• Pixel 1
• Pixel 1 XL
• Pixel 2
• Pixel 2 XL
• Huawei P20
• Xiaomi Redmi 5A
• Xiaomi Redmi Note 5
• Xiaomi A1
• Oppo A3
• Moto Z3
• Smartfony LG z Androidem w wersji Oreo (Android 8.x)
• Samsung S7
• Samsung S8
• Samsung S9

O ile smartfony Google Pixel nie są u nas szczególnie popularne, to pozostałe z powyższej listy już owsem (np. smartfony Xiaomi). Jednocześnie warto nie wpadać w panikę, bo choć wykorzystanie luki pozwala całkowicie przejąć kontrolę nad atakowanym urządzeniem, to samo przeprowadzenie ataku nie jest zadaniem trywialnym. Szanse, że zwykły użytkownik padnie ofiarą ataku wykorzystującego opisywaną podatność są oceniane jako niskie. Niemniej, aby nie ułatwiać zadania cyberprzestępcom warto być czujnym na powiadomienia z systemu aktualizacji i zaktualizować oprogramowanie smartfona. Do czasu aż pakiet aktualizacyjny nie będzie dostarczony wystarczy nie instalować aplikacji z nieautoryzowanych źrodeł oraz nie korzystać z mobilnej wersji przeglądarki Chrome.

Źródło: chip.pl