Коллектив Авторов - Цифровой журнал «Компьютерра» № 181

Если принять во внимание масштабы возможной эпидемии, неудивительно, что Bluebox, сделавшая своё открытие ещё зимой, до последнего момента держала абсолютно все детали в тайне. В известность были поставлены лишь Google и крупные Android-вендоры. И только на днях авторы находки обнародовали некоторую информациюо сути уязвимости и продемонстрировали скриншот приложения, модифицированного таким образом, — как доказательство практической осуществимости атаки. Любопытно, кстати, что заплатка, устраняющая баг в операционной системе, состоит всего из пары строчек кода. Однако производителей ещё нужно заставить эти две строчки в свои версии Android внести! Собственно говоря, при наблюдаемых сумасшедших темпах эволюции модельного ряда и невообразимой фрагментированности платформы задача представляется неосуществимой. Ведь даже именитые вендоры прекращают поддержку своих устройств через год–два после выпуска, что уж говорить про китайский ноунейм.

Есть, правда, и другой способ защитить пользователей — принудительно проверять каждый APK-пакет, попадающий в магазин приложений. Google именно так и поступила — и пользователи, устанавливающие программное обеспечение только из Google Play (запретившие установку пакетов из посторонних источников; в настройках системы есть соответствующий пункт), могут быть спокойны. Но, к сожалению, и тут силами одного игрока не справиться. На многих Android-устройствах включен доступ к альтернативным апп-сторам, а на тех, что используют Android без гугловской лицензии, Google Play недоступен вовсе. Понятное дело, достучаться до владельцев каждого магазина приложений и заставить их проверять пакеты едва ли возможно. А ведь только популярных альтернативных апп-сторов насчитывается дюжина (включая отечественный «Яндекс.Store»).

Что ж, насколько известно, в ходе проверки Google Play ни одного пакета, модифицированного с применением бага 8219321, выявлено не было. Так что проблема оставалась теоретической и обещала остаться таковой вплоть до конца июля, когда Bluebox планирует обнародовать детали на конференции Black Hat. Однако её опередили. На днях компания viaForensics опубликовала свой эксплойт того же бага — утилиту, позволяющую распаковать, модифицировать и запаковать обратно APK-файл с сохранением его контрольной суммы и подписи.

Как предупредить заражение, вы уже знаете: не устанавливать «левые» пакеты и по возможности ограничиться гугловским апп-стором. Простые, стандартные, в общем-то, правила. Но вот кто донесёт их до человека с улицы?

P. S. Проверить свои Android-устройства на наличие бага 8219321 можно с помощью бесплатного приложенияот Bluebox Security.

К оглавлению

Опубликовано09 июля 2013

Дело шереметьевского человека-невидимки Сноудена и обсуждение его матримониальных планов как-то скрыло завесой информационного тумана то, что и в отечественном киберпространстве происходят поразительно интересные вещи. А ареной, где кипят страсти, является суд. Самое что ни на есть подходящее для этого место, архетипичное для европейской культуры. В афинском суде разворачивалась трагедия Сократа. Как и он, обвиненная в безбожии гетера Фрина демонстрировала свои прелести присяжным. (Слов в ее защиту блестящий оратор Гиперид не нашел…) В судах бичевал людские пороки Цицерон. Судом снискал себе страшное бессмертие Понтий Пилат. Книги юриста Кони являлись обязательным чтением в небогатую текстами советскую эпоху…

И ныне суд – место поразительно занятное. Тем более что мы видим сейчас пример интереснейшего киберпреступления, вызвавшего интереснейший резонанс во всех сферах деятельности общества. Началось всё три года назад, 15 июля 2010-го. DDoS-атака, продолжавшаяся девять дней, «обвалила» сервер процессинговой компании «Ассист». А компания эта была подрядчиком банка ВТБ24 — в рамках договора по проведению электронных платежей за авиабилеты, оформленные на сайте «Аэрофлота». В результате более девяти тысяч человек, оформивших билеты на рейсы этого авиаперевозчика, не смогли их оплатить… По подсчетам авиакомпании, речь шла о сумме в 146 миллионов рублей. Каковые убытки «Аэрофлот» и попытался взыскать с вышеупомянутого банка в Арбитражном суде Москвы. В чем в ходе тяжбы, длившейся с 31 августа 2010 года по 9 ноября 2012-го, «Аэрофлоту» и было отказано. Впрочем, как и банкирам во встречном иске — 23,7 миллиона рублей на доработку ИТ-инфраструктуры банка. А заявление о DDoS-атаке питерским правоохранителям подал пострадавший «Ассист».

Как можно понять, дело о DDoS-атаке попало в руки весьма серьезные — в Центр информационной безопасности Федеральной службы безопасности (организация любознательная, но не склонная к публичности; вроде бы входящая в состав контрразведки) и в Следственное управление ФСБ. В последнем случае это было мотивировано, скорее всего, тем, что «Аэрофлот», являющийся национальным перевозчиком (контрольный пакет у государства), понёс крупный ущерб, да и самой опасностью инфраструктурной атаки (пусть в данном случае и имевшей лишь финансовые последствия). Ну а ЦИБ ФСБ, по устоявшемуся мнению, эксплуатирует небезызвестные системы СОРМ и СОРМ-2 (давным-давно описанные«Компьютеррой» бумажной).

Следствие шло своим чередом, и 24 июня 2011 года Лефортовский суд Москвы санкционировал арест Павла Врублевского, известного отечественного молодого бизнесмена, работающего в области ИТ. Он является создателем и генеральным директором платёжной системы ChronoPay. Подсистема ChronoPay E-Avia обрабатывала платежи по электронным билетам для ряда крупных компаний, являясь конкурентом «Ассиста». Врублевского задержали в Шереметьеве и отправили в следственный изолятор Лефортово. («Сдавший» его хакер Игорь Артамович (о чем рассказывала«Компьютерра») остался под подпиской о невыезде.) Бизнесмену инкриминировали две статьи УК РФ — 272 (неправомерный доступ к компьютерной информации) и 273 (создание, использование и распространение вредоносных программ). Обратим, кстати, внимание на серьёзность меры пресечения, предпринятой в отношении подозреваемого в экономическом преступлении: как всем известно из публикаций в рунете, люди, похожие на фигурантов дела по хищениям в военведе, находясь под домашним арестом, гуляют по дорогим бутикам…