Android-lek laat apps in Trojans transformeren

De fout - Donut genoemd door de ontdekker Bluebox Security - bestaat al sinds Android-versie 1.6 die vier jaar geleden uitkwam. Bluebox Security licht de details van de ontdekking toe op de Black Hat-conferentie in Las Vegas die op 27 juli begint.

Fout in de kern van de beveiligingsstructuur

Donut raakt aan de kern van de beveiligingsstructuur van Android. Wanneer en applicatie wordt geïnstalleerd, creëert Android een sandbox en registreert de digitale handtekenng van de app. Bij updates controleert Android de digitale handtekening om te verifiëren of de aanpassing wel van dezelfde maker komt. De fout staat echter toe dat een hacker de applicatiepakketten (APK's) aanpast nadat ze al digitaal zijn getekend, zonder de handtekening te verbreken.

Het is zelfs mogelijk onderdelen van het systeem aan te passen wanneer die maar dezelfde signature-code houden als het origineel. Hackers kunnen zo alles doen met het toestel en de instellingen, of wanneer ze het juiste type applicatie onder handen nemen, er een mobiel botnet mee opzetten of privacygevoelige informatie verzamelen.

Voor het verspreiden van de software kunnen de hackers gebruik maken van e-mail, app-stores of heel gericht op en apparaat zetten via de usb-poort.