Первый установщик Fortnite от Epic позволил хакерам бесшумно загружать и устанавливать что угодно на ваш телефон Android

Google только что публично раскрыл что он обнаружил чрезвычайно серьезную уязвимость в Первый установщик Fortnite от Epic для Android это позволило любой приложение на свой телефон, чтобы загрузить и установить что-нибудь в фоновом режиме, включая приложения с предоставленными полными разрешениями без ведома пользователя. Группа безопасности Google впервые раскрыла уязвимость Epic Games в частном порядке 15 августа и с тех пор, как Epic опубликовала эту информацию публично после подтверждения, что уязвимость исправлен.

Короче, это было именно вид эксплойта что Android Central и другие опасались, что это произойдет с такой системой установки. Вот что вам нужно знать об уязвимости и как убедиться, что вы в безопасности в дальнейшем.

Что такое уязвимость и почему она так плоха?

Когда вы загружаете «Fortnite», вы на самом деле загружаете не всю игру, а сначала загружаете установщик Fortnite. Установщик Fortnite - это простое приложение, которое вы загружаете и устанавливаете, а затем загружает полную игру Fortnite прямо из Epic.

Установщик Fortnite можно было легко использовать для перехвата запроса на загрузку полной игры.

Проблема, как обнаружила группа безопасности Google, заключалась в том, что установщик Fortnite можно было легко использовать для перехвата запроса на загрузку Fortnite из Epic и вместо загрузки что-нибудь когда вы нажимаете кнопку, чтобы загрузить игру. Это то, что известно как атака "человек в диске": приложение на вашем телефоне ищет запросы на загрузку чего-либо из Интернета и перехватывает этот запрос на загрузку чего-то другого, без ведома исходного приложения загрузки. Это возможно исключительно потому, что установщик Fortnite был разработан неправильно - установщик Fortnite понятия не имеет, что это просто облегчило загрузку вредоносного ПО, а нажатие кнопки «запустить» даже запускает вредоносное ПО.

Для того, чтобы вас использовали, на вашем телефоне должно быть установлено приложение, которое искало такую ​​уязвимость, но с учетом популярность Fortnite и ожидание релиза, весьма вероятно, что есть сомнительные приложения, которые просто который. Часто вредоносные приложения, которые устанавливаются на телефоны, не содержат ни одного эксплойта, у них есть целая полезная нагрузка, полная множества известных уязвимостей для тестирования, и этот тип атаки может быть одной из их.

Одним касанием вы можете загрузить вредоносное приложение с полными разрешениями и доступом ко всем данным на вашем телефоне.

Вот где все получается действительно плохой. Из-за того, как работает модель разрешений Android, вам не придется принимать установку приложения из «неизвестных источников» после того, как вы приняли эту установку для Fortnite. Из-за того, как работает этот эксплойт, в процессе установки нет никаких указаний на то, что вы загружаете что-то другое. чем Fortnite (и установщик Fortnite тоже ничего не знает), а в фоновом режиме работает совершенно другое приложение. установлены. Все это происходит в рамках ожидаемого процесса установки приложения из установщика Fortnite - вы принимаете установку, потому что думаете, что устанавливаете игру. В частности, на телефонах Samsung, которые получают приложение от Galaxy Apps, дела обстоят немного хуже: нет даже первого запроса на разрешение из «неизвестных источников», потому что Galaxy Apps является известным источником. Идя дальше, это приложение, которое было только что установлено, может объявить и получить каждый разрешение возможно без вашего дополнительного согласия. Неважно, есть ли у вас телефон с Android Lollipop или Android Pie, или отключили ли вы «неизвестные источники» после установки установщика Fortnite - как только вы установите его, вы потенциально можете подвергнуться атаке.

Страница отслеживания проблем Google для эксплойта есть быстрая запись экрана, которая показывает, насколько легко пользователь может загрузить и установить установщик Fortnite, в данном случае из магазина Galaxy Apps Store, и подумать, что они загружают Fortnite вместо этого загружая и устанавливая вредоносное приложение с полными разрешениями - камера, местоположение, микрофон, SMS, хранилище и телефон - под названием «Fortnite». Это занимает несколько секунд и ни один пользователь взаимодействие.

Да, это довольно плохо.

Как вы можете убедиться, что вы в безопасности

К счастью, Epic быстро исправила уязвимость. Согласно Epic, эксплойт был исправлен менее чем через 48 часов после уведомления и был развернут на всех Fortnite. Установщик, который был установлен ранее - пользователям просто нужно обновить установщик, что можно сделать одним нажатием. Установщик Fortnite, который принес исправление, имеет версию 2.1.0, которую вы можете проверить, запустив установщик Fortnite и перейдя в его настройки. Если вы по какой-либо причине загрузили более раннюю версию установщика Fortnite, перед установкой Fortnite вам будет предложено установить 2.1.0 (или новее).

Если у вас версия 2.1.0 или новее, вы застрахованы от этой конкретной уязвимости.

Epic Games не разглашает информацию об этой уязвимости, кроме подтверждения того, что она была исправлено в версии 2.1.0 установщика, поэтому мы не знаем, активно ли он использовался в дикий. Если у вас установлена ​​последняя версия установщика Fortnite, но вы все еще беспокоитесь о том, затронула ли вас эта уязвимость, вы можете удалить Fortnite и установщик Fortnite, затем повторите процесс установки, чтобы убедиться, что ваша установка Fortnite законный. Вы также можете (и должны) запустить сканирование с помощью Google Play Protect, чтобы, надеюсь, выявить любое вредоносное ПО, если оно было установлено.

Представитель Google прокомментировал ситуацию так:

Безопасность пользователей - наш главный приоритет, и в рамках нашего упреждающего мониторинга вредоносных программ мы выявили уязвимость в установщике Fortnite. Мы немедленно уведомили Epic Games, и они устранили проблему.

Epic Games предоставила следующий комментарий генерального директора Тима Суини:

Epic искренне оценила усилия Google по проведению углубленного аудита безопасности Fortnite сразу после нашего выпуск на Android и поделиться результатами с Epic, чтобы мы могли быстро выпустить обновление, чтобы исправить ошибку, которую они обнаружил.

Однако со стороны Google было безответственно публично раскрыть технические детали уязвимости так быстро, в то время как многие установки еще не были обновлены и все еще оставались уязвимыми.

Инженер по безопасности Epic, по моему настоянию, попросил Google отложить публичное раскрытие информации на обычные 90 дней, чтобы дать время для более широкой установки обновления. Google отказался. Вы можете прочитать все это на https://issuetracker.google.com/issues/112630336

Усилия Google по анализу безопасности ценятся и приносят пользу платформе Android, однако такой влиятельной компании, как Google, следует практиковать больше. ответственное время раскрытия информации, чем это, и не подвергать опасности пользователей в ходе своих усилий по борьбе с PR против распространения Fortnite Epic за пределами Гугл игры.

Google, возможно, прыгнул через акулу в сознании Epic, но этот курс действий явно последовал Политика Google в отношении раскрытия уязвимостей 0day.

Что мы узнали из этого процесса

Я повторю то, что уже много лет говорят в Android Central: невероятно важно устанавливать приложения только от компаний и разработчиков, которым вы доверяете. Этот эксплойт, каким бы плохим он ни был, по-прежнему требует, чтобы у вас был установлен установщик Fortnite. и другое вредоносное приложение, которое будет запрашивать загрузку более опасного вредоносного ПО. С огромной популярностью Fortnite существует большая вероятность того, что эти круги пересекаются, но это не обязательно ты.

Это именно та уязвимость, о которой мы беспокоились, и это произошло в первый день.

С самого начала, когда мы решили установить Fortnite вне Play Store, мы беспокоились о том, что Популярность игры пересилила бы здравый смысл людей, чтобы они оставались для своих приложений в Play Store. Это тот вид уязвимости, который, скорее всего, будет обнаружен в процессе проверки при переходе в Play Store и будет исправлен. перед любое большое количество людей скачало его. А с помощью Google Play Protect на вашем телефоне Google сможет удаленно убить и удалить приложение, если оно когда-нибудь попадет в дикую природу.

Со своей стороны, Google все же удалось обнаружить эту уязвимость, хотя приложение не распространяется через Play Store. Мы уже знаем, что Google Play Protect может сканировать приложения на вашем телефоне, даже если они были установлены непосредственно из Интернета или другого магазина приложений, и в этом случае этот процесс был поддержан талантливой командой безопасности в Google, которая обнаружила уязвимость и сообщила о ней в разработчик. Этот процесс обычно происходит в фоновом режиме без особой помпы, но когда мы говорим о таком приложении, как Fortnite с десятками миллионов установок показывает, насколько серьезно Google относится к безопасности в Android.

Обновить: Эта статья была дополнена уточненной информацией об эксплойте, а также комментарием генерального директора Epic Games Тима Суини.

Андрей Мартоник

Эндрю - исполнительный редактор Android Central в США. Он был энтузиастом мобильных устройств со времен Windows Mobile, а с 2012 года освещает все, что связано с Android, с уникальной точки зрения. Для предложений и обновлений вы можете связаться с ним по адресу [email protected] или в Twitter по адресу @andrewmartonik.