Jak wykiwać wirtualnego bramkarza Google Play

Bouncer, czyli rozwiązanie, nad którym Google pracował w zeszłym roku, mające na celu odnalezienie i wyeliminowanie niebezpiecznego oprogramowania ze sklepu Play, okazuje się całkiem łatwe do obejścia.

Bramkarz chroniący dostępu do sklepu z aplikacjami Google'a "zachowuje się", jakby miał klapki na oczach i widział w wąskim zakresie. Jest to wirtualna maszyna uruchamiająca aplikacje i wykrywająca szkodliwe działania. Trzeba przyznać, że wiele dotychczasowych zagrożeń udało się dzięki niej wyeliminować, ale - nie czarujmy się - każde zabezpieczenie da się złamać.

Jon Oberheide i Charlie Miller, testerzy zabezpieczeń, wykryli i opisali poważne niedociągnięcie w systemie ochronnym. Redaktorzy Androidauthority.com zgrabnie porównali proces do sceny z filmu "Matrix", w której w okolicy statku Morfeusza, Neo i spółki pojawia się Strażnik. W celu ukrycia natychmiastowo odłączone zostaje zasilanie, przez co skanery wroga nie są w stanie ich odnaleźć.

Podobnie testerom udało się obejść bramkarza. Określili oni sygnały różniące sztuczne środowisko tworzone przez niego od prawdziwych urządzeń z Androidem. Dzięki temu robak, "wiedząc", że jest szukany, przestaje wykonywać jakiekolwiek czynności i ukrywa się.

Sposób przetestowano, dodając do sklepu zainfekowaną aplikację HelloNeon, która po sprawdzeniu była dostępna do pobrania. Całe odkrycie możliwe było dzięki umieszczeniu w Google Play spyware'u podpatrującego, jakie działania przeprowadza Bouncer.

Jak w przypadku każdego rozwiązania automatycznego i to działa schematycznie. Dla przykładu, symulowane urządzenie z Androidem zawsze łączyło się z jednym kontem – miles.karlson@gmail.com. Jeden z testów polegał na sprawdzeniu, czy aplikacja pobierze i wyśle z urządzenia zdjęcia. Jak się okazuje, do tego celu używane zawsze były dwa pliki: cat.jpg i ladygaga.jpg.

Informacje zdobyte przez Oberheide’a i Millera dowodzą, jak łatwo osobie znającej się na rzeczy wkraść się do Google Play i działać na szkodę użytkowników Androida. Kolejny raz (do znudzenia) pozostaje sprawdzić, jakich uprawnień żądają instalowane aplikacje, i przemyśleć, czy na pewno są one im potrzebne. Co produktów dużych firm możemy być pewni, że nie ma w nich zagrożeń, ale wzbudzające podejrzenia aplikacje warto samodzielnie prześwietlić.