Miljontals använder osäkra Android-appar

Säkerhetshålen har att göra med hur applikationerna använder sig av SSL, Secure Socket Layer, för datakommunikation. Enligt forskningsrapporten så kunde man genom att göra så kallade janus-attacker dels komma åt en hel del känslig information från apparna, och dels injicera dem med skadlig kod.

En janus-attack, eller MITM-attack (Man In The Middle) som det också kallas, innebär att en sändare och mottagare tror att de kommunicerar med varandra, medan all information i själva verket passerar genom en tredje part som både kan avlyssna och manipulera informationen - ungefär som om en brevbärare skulle fiffla med posten.

Det första steget i attacken var att ansluta telefonerna till ett WIFI-nätverk där all trafik gick genom en proxy-server som användes för själva avlyssningen.

Okunskap om SSL

Att dataintrånget kunde ske trots användningen av SSL, som är en teknik för att kryptera dataöverföringar, berodde på att SSL-tekniken inte hade använts på ett säkert sätt i apparna. Troligen har apputvecklarna helt enkelt haft för lite kunskap om hur SSL ska användas för att förhindra den här typen av attacker. Forskarna lyckades nämligen lura apparna vad gäller hanteringen av nycklarna för krypteringen, så att trafiken kunde dekrypteras, avlyssnas och skickas vidare.

Metoden innebar att man förutom bankuppgifter och kreditkortsinformation även lyckades komma över annan känslig information som kontouppgifter för Facebook, Twitter, e-post, lagringstjänster, med mera. Värt att påpeka är dock att den officiella Facebook-appen var en av de appar som faktiskt visade sig stå pall för forskarnas försök till attacker.

Vad som kanske är ännu allvarligare är att man med samma metod  i flera fall dessutom kunde injicera kod i Android-enheterna via säkerhetshålen i apparna. Den injicerade koden lät dem bland annat avaktivera antivirusverktyg och exekvera kod.

Enligt rapporten så beräknas mellan närmare 40 och 185 miljoner Android-enheter använda sig av någon av de appar som man använde för att komma över känslig information och injicera kod i enheterna med.

Läs mer

FBI varnar för Android-trojaner

Why Eve and Mallory Love Android: An Analysis of Android SSL (In)Security