Κάνοντας Hacking σε μία Android συσκευή
- Κυριακή, 17 Νοεμβρίου 2013 13:27
Σήμερα λοιπόν θα γίνω για λίγο "ένας κακόβουλος developer" που σκοπός μου είναι (τι άλλο) να κλέψω τα προσωπικά σας δεδομένα από το Android κινητό σας.
Σκοπός του άρθρου φυσικά είναι να δείξω γιατί δεν πρέπει να εγκαθιστούμε άκριτα ότι σπασμένη εφαρμογή βρούμε, αλλά και πόσο σημαντικά είναι τα Permissions τα οποία αποδεχόμαστε κατά την εγκατάσταση μίας εφαρμογής.
Κανένα Android κινητό (πέραν του δικού μου) δεν κακοποιήθηκε κατά την διάρκεια των γυρισμάτων.
Κατεβάζει λοιπόν ένας χρήστης κάποιο "σπασμένο" .apk από το μόμπιλισμ (ή κάποιο αντίστοιχο σπαμενάδικο), και ως άτομο που σέβεται τον χρόνο του (ειρωνεία) δεν δίνει την παραμικρή σημασία στα Permissions που θα αποδεχτεί κατά την διάρκεια της εγκατάστασης.
Τι κατάφερε λοιπόν? Να δώσει πλήρη πρόσβαση στην συσκευή του σε κάποιον κακόβουλο.
Και τι εννοώ με το "πλήρη πρόσβαση?" Να μπορεί να ηχογραφήσει από το μικρόφωνο της συσκευής μας, και να ακούει οτιδήποτε λέμε, όπως επίσης να βλέπει και τι εφαρμογές τρέχουμε.
Να δει τι αρχεία έχουμε, και φυσικά να κατεβάσει όποιο από αυτά θέλει στο PC του.
Και φυσικά άμα δεν του αρέσει κάτι που έχουμε στην συσκευή μας, μπορεί και να το διαγράψει. (και πολλά πολλά πολλά ακόμα)
Πόσο δύσκολο είναι όμως να ενσωματωθεί ένα κακόβουλο payload σε ένα .apk?
Καθόλου δύσκολο, για την ακρίβεια είναι πανεύκολο. (φυσικά και δεν θα δώσω οδηγίες). Το .apk μπορεί επίσης να λειτουργεί ακριβώς όπως το "περιμένει" ο χρήστης, δηλαδή να περιέχει την σπασμένη έκδοση του Plants VS Zombies, με την διαφορά ότι θα έχει και το payload μέσα.
Πώς μπορώ να προστατευτώ
Η επικινδυνότητα (risk-factor) στο Android για τον μέσο χρήση που κατεβάζει μόνο από το Google Play, και κυρίως γνωστές εφαρμογές είναι σχεδόν μηδενική. Οι εφαρμογές εντός Google Play ελέγχονται από μηχανισμό της Google συνεχώς για κακόβουλο κώδικα.
Ο κίνδυνος στο Android ξεκινάει όταν ο χρήστης αρχίζει να κατεβάζει από "άγνωστες πηγές" κάθε λογής "σπασμένο" .apk.
Δεν χρειάζεται πανικός, παρά σωστή ενημέρωση. Λύση δεν είναι να γυρίσουμε όλοι στο Nokia 3310 που δεν έπαιρνε εφαρμογές, παρά να χρησιμοποιούμε σωστά την συσκευή μας, και να αντιλαμβανόμαστε τους κινδύνους από κάποιες ενέργειες όπως η εγκατάσταση από άγνωστες πηγές.
Όπως δεν τρέχεις οποιοδήποτε .exe βρεις πρόχειρο στο x-y torrent-άδικο, έτσι δεν βάζεις και οποιοδήποτε .apk βρεις με αντίστοιχο τρόπο.
Επίσης δίνουμε αρκετή σημασία στις άδειες (permissions) που ζητάει μία εφαρμογή κατά την εγκατάσταση, και κοιτάμε κατά πόσον η λειτουργία της δικαιολογεί την άδεια που ζητάει.
