Эксперты по безопасности из компании Bluebox Labs сообщили о серьезной уязвимости, обнаруженной в мобильной операционной системе Android.

Эта уязвимость, названная как "Fake ID", предоставляет возможность вредоносным приложениям выдавать себя за доверенных приложений без уведомления пользователя.

Она позволяет обмануть систему цифровых подписей (сертификатов) приложений и выдать вредоносное приложение за приложение официального поставщика, которому пользователь уже разрешил доступ к системе.

Это может привести к множеству нежелательных последствий. Например, уязвимость может быть использована вредоносными программами, чтобы избежать проверки в нормальной изолированной программной среде и осуществить вредоносные действия: например, вставить троянского коня в приложение, выдав себя за Adobe Systems или получите доступ к финансовой и платежной данным по функции NFC, выдав себя за бумажник Google; или взять под полный контроль управление всем устройством, присвоив себе права программного обеспечения 3LM., (эти привилегии HTC, Sony, Sharp и Motorola использовали для кастомизации графических оболочек на своих устройствах).

Еще в апреле Bluebox Labs поставила в известность Google о новой уязвимости, и компания тут же выпустила патч для ее устранения. Однако, миллионы пользователей остаются в зоне риска, поскольку уязвимость была устранена лишь в последней версии Android, а в версиях начиная с 2.1 (Eclair) и вплоть до 4.3.1 (Jelly Bean) она по-прежнему присутствует.

Как сообщил специалист Bluebox Labs Джефф Форристел, о технических деталях эксплойта он расскажет на конференции Black Hat USA, которая откроется 2 августа в Лас-Вегасе. Известно, что критическая «дыра» появилась в январе 2010 года с релизом версии Android 2.1. Таким образом, она затрагивает почти все Android-смартфоны, поскольку Google выпустила устраняющий ее патч только в апреле 2014-го. Уязвимость также закрыта в современной версии Android, 4.4 (KitKat).

Если у вас старый Android-смартфон, то можно проверить, был ли он скомпрометирован, загрузив бесплатный сканер безопасности от Bluebox Labs.