Nieuw soort aanvallen dreigt voor Android-apps

Deze 'Man-in-the-Disk' (MitD)- aanvallen buiten volgens de onderzoekers de wijze van beveiligen en het gebruik van de externe opslagruimten uit. Na na installatie van schadelijke apps geeft dit aanvallers de mogelijkheid tot het toevoegen of wijzigen van de code in andere applicaties met crashes of updates naar kwaadaardige versies tot gevolg.

Intern en extern geheugen

De oorsprong hiervan ligt in de wijze waarop applicaties het externe geheugen gebruiken, zo stellen de onderzoekers. Dit zit in het gegeven dat deze opslagbron wordt gedeeld door alle applicaties en niet wordt beveiligd door Android's Sandbox-beveiliging. Dit soort externe opslag wordt door alle applicaties gedeeld en is meestal een SD-kaart of een apart deel van het interne geheugen van de smartphone wat 'over' is.

Het interne geheugen van de smartphone zelf wordt daarentegen door afzonderlijke applicaties in aparte delen gebruikt die worden afgezonderd door de Sandbox-beveiliging. Op dit interne geheugen staat het OS, bijbehorende apps, drivers én geselecteerde data van apps die door de gebruikers worden geïnstalleerd. Deze data is afgesloten van andere applicaties, in tegenstelling tot de data op de externe opslagruimte. 

Overschrijven met permissie

De externe schijf is vaak een opslagruimte met data van vrijwel alle apps die door de gebruikers zijn gedownload. Iedere app kan data, en dus ook die van andere applicaties, op deze schijf aanpassen nadat de gebruiker toegang tot de schijf geeft. Doordat het overgrote deel van de applicaties hier bij het eerste gebruik of download toestemming voor vraagt, zijn gebruikers volgens de onderzoekers sneller geneigd hier klakkeloos toestemming voor te geven, zonder zich bewust te zijn van de risico's.

Iedere app kan zichzelf bepaalde opslagruimte van het interne geheugen toewijzen, maar veel app-developers willen de grootte hiervan zo beperkt mogelijk houden, om potentiële gebruikers niet af te schrikken. Een grote benodigde ruimte zou kunnen zorgen dat een gebruiker afziet van het downloaden van een applicatie. 
De apps vragen hierdoor toegangspermissie tot de externe schijf, zodat de app hier ook bestanden kan plaatsen. Dit houdt de totale grootte van de applicatie beperkt. Afhankelijk van het aantal geïnstalleerde applicaties die op deze wijze omgaan met de opslagruimte, kan het geven van permissie aan een kwaadwillende app dus zorgen voor een groot beveiligingsrisico. 

Zaklamp-app

De onderzoekers van Check Point ontwikkelden een applicatie die zich voordeed als goedaardige zaklamp-app. Door het vragen van permissie om data op te slaan op de externe schijf, waren zij in staat om andere applicaties met data op diezelfde schijf aan te vallen met twee verschillende soorten aanvallen. Zo lukte het ze om andere apps te laten crashen, en om andere apps te laten updaten naar een kwaadaardige versie. 

Het laten crashen van andere apps lukte de onderzoekers door in de bestanden van deze applicaties op de externe schijf misvormde data te injecteren in de mappen van deze apps, waarna ze crashen bij gebruikt. Dit soort aanvallen geeft de mogelijkheid om concurrerende apps te saboteren. Ook kan dit een grotere crash te veroorzaken die deuren open laat voor het misbruiken van andere tekortkomingen en het injecteren van kwaadwillende code in de gecrashte app.

Als de getroffen app meer permissies van de gebruiker heeft gekregen dan de gebruikte kwaadaardige app, betekent dit dat kwaadwillenden het level van hun eigen permissies kunnen 'verhogen' tot het niveau van de getroffen app, en hiermee inzicht in onderdelen van de smartphone krijgt die hun applicatie normaliter niet krijgt. 

Kwaadaardige updates

De MitD-aanvallen kunnen volgens de onderzoekers ook toeslaan tijdens updates van andere apps. Omdat sommige applicaties hun tijdelijke updatebestanden opslaan op de externe schijf voordat ze de betreffende update draaien, vormt dit moment een kwetsbaarheid. Een aanvaller kan op dit korte moment eenvoudig deze bestanden vervangen voor misvormde bestanden, zodat de app tijdens een update een kwaadaardige versie van zichzelf of een andere app installeert.

Volgens de onderzoekers hebben zij tijdens de tests een aantal zeer populaire apps gevonden die vatbaar zijn voor de twee soorten MitD-aanvallen. Het zou hierbij ook gaan om applicaties van Google die al pre-installed zijn op een overgrote meerderheid van Android-telefoons, zoals Google Translate. Deze apps zouden vooral kwetsbaar zijn voor aanval waarbij een veranderde code zorgt voor crashes. 

Ook de populaire Xiaomi Browser was vatbaar voor een MitD-aanval, waarbij het gaat om een aanval waarbij uiteindelijk een kwaadaardige versie van de app kon worden geïnstalleerd.