ٹروجن جنگل میں پائے جانے والے android کے ماسٹر کلیدی عیب کا استحصال کرتے ہیں

سیمنٹیک کے محققین نے پایا کہ چینی منڈیوں میں تقسیم کی جانے والی دو ایپس اینڈروئیڈ کی "ماسٹر کی" خطرے سے دوچار ہیں۔

رواں ماہ کے اوائل میں شائع ہونے والی "ماسٹر کلید" کی کمزوری ، حملہ آوروں کو ایپلیکیشن پیکیج میں موجودہ نام کی عین مطابق نام کی ایک بدنصیبی فائل داخل کرکے موجودہ ایپس میں ترمیم کرنے کی اجازت دیتی ہے۔ جب اینڈرائڈ پیکیج فائل کو کھولتا ہے تو ، وہ پہلی فائل کے ڈیجیٹل دستخط کی توثیق کرتا ہے اور دوسری کو توثیق نہیں کرتا ہے کیونکہ اس کے خیال میں اس فائل نے پہلے ہی اس کی توثیق کردی ہے۔ سب سے بڑی تشویش یہ تھی کہ حملہ آور نقصاندہ ایپس بنانے کے لئے اس خامی کا استحصال کرسکتے ہیں جو جائز ایپس کے بطور نقاب پوش ہوسکتے ہیں اور دور دراز سے صارف کے آلات پر قابو پاسکتے ہیں۔

سیمنٹیک کو چین میں ایک ایپ مارکیٹ میں دو ایپس تقسیم کی گئیں جو استحصال کا استعمال کررہی تھیں۔ سیمنٹیک سیکیورٹی رسپانس بلاگ پر بدھ کی ایک پوسٹ کے مطابق ، ایپس کا استعمال ڈاکٹر کے ساتھ ملاقات اور ملاقات کے ل. کیا جاتا ہے۔

بلاگ پوسٹ نے کہا ، "ہم توقع کرتے ہیں کہ حملہ آور غیر یقینی صارف کے آلات کو متاثر کرنے کے لئے اس خطرے سے فائدہ اٹھانا جاری رکھیں گے۔

ایپ ڈویلپر نے Android.Skullkey نامی مال ویئر کو شامل کرنے کے خطرے کا فائدہ اٹھایا۔ یہ ٹروجن سمجھوتہ کرنے والے فونز ، ہینڈسیٹ پر وصول شدہ اور تحریری متن کو مانیٹر کرتا ہے ، اور پریمیم نمبروں پر ایس ایم ایس میسج بھی بھیجتا ہے۔ ٹروجن ان آلات پر نصب موبائل سیکیورٹی سافٹ ویئر ایپلی کیشنز کو بھی غیر فعال کر سکتا ہے۔

کیا ان ایپس کیلئے گوگل اسکین کر رہا ہے؟

سیمنٹیک کی یہ رپورٹ بٹ ڈیفنڈر کو گوگل پلے پر دو ایپس ملی ہے جس کے بعد نقل فائل فائل کا نام بھی استعمال کررہے تھے ، لیکن بدنیتی پر مبنی نہیں۔ روز ویڈنگ کیک گیم اور پیریٹس آئلینڈ مہجونگ میں دو ڈپلیکیٹ امیج فائلیں (PNG) ہوتی ہیں جو گیم کے انٹرفیس کا حصہ ہیں۔

بٹ ڈیفینڈر کے سینئر ای خطرہ تجزیہ کار بوگدان بوٹازاتو نے گذشتہ روز ہاٹ فار سیکیورٹی بلاگ پر لکھا ، "ایپلی کیشنز بدنیتی پر مبنی کوڈ کو نہیں چلارہے ہیں۔ وہ صرف پیکیج میں کسی تصویری فائل کو اوور رائٹ کرنے کے لئے اینڈرائیڈ بگ کو بے نقاب کررہے ہیں ، زیادہ تر غلطی سے۔" ہفتہ

بٹیزاتو نے سیکیورٹی واچ کو بتایا ، "کسی APK میں ایک ہی راستے میں ایک جیسے ناموں والی دو فائلیں رکھنے کی کوئی وجہ نہیں ہے۔"

بوٹیزاتو نے کہا کہ دونوں ایپس کو حال ہی میں اپڈیٹ کیا گیا ہے اور یہ "خاص طور پر دلچسپ" ہے کہ گوگل پلے کے ذریعہ اسکین کرتے وقت ایپس نے کوئی سرخ جھنڈے نہیں اٹھائے۔ یاد رکھیں ، گوگل نے کہا تھا کہ اس نے اس خطرے کا استحصال کرنے والے ایپس کو روکنے کے لئے گوگل پلے میں تبدیلیاں کی ہیں۔ اب سوال صرف ایسا ہی لگتا ہے جب گوگل نے اپنے بازار کے اسکینر کو اپ ڈیٹ کیا ، چونکہ جون میں شادی کا کیک گیم آخری بار اپ ڈیٹ ہوا تھا۔ یا یہ صرف یہ ہوسکتا ہے کہ گوگل نے پہچان لیا کہ ڈپلیکیٹ تصویری فائل کے نام بدنیتی پر مبنی نہیں ہیں کیونکہ وہاں کوئی قابل عمل کوڈ نہیں ہے اور ایپس کو اس کی اجازت دیتے ہیں۔

غیر سرکاری منڈیوں سے دور رہیں

جیسا کہ ماضی میں ہم نے مشورہ دیا ہے ، گوگل پلے پر قائم رہیں اور غیر سرکاری بازاروں ، فورمز اور ویب سائٹ جیسے تھرڈ پارٹی ذرائع سے ایپس ڈاؤن لوڈ نہ کریں۔ "معروف اینڈروئیڈ ایپلی کیشن مارکیٹس" کے ساتھ رہو جہاں ایپس کو درج ہونے سے پہلے اس کی تصدیق اور اسکین کیا جاتا ہے۔

گوگل نے پہلے ہی مینوفیکچررز کے لئے ایک پیچ جاری کیا ہے ، لیکن یہ دکانداروں اور کیریئرز پر منحصر ہے کہ اس ہینڈسیٹ کے تمام مالکان کو کب اپ ڈیٹ بھیجا جائے گا۔

اگر آپ سیانوجن موڈ یا دیگر اینڈروئیڈ ڈسٹری بیوشنز استعمال کرتے ہیں جس نے پہلے ہی بگ کو تھپتھپایا ہے تو ، آپ اس قسم کی ایپس سے محفوظ رہتے ہیں۔ اگر آپ ایسے ایپس کو انسٹال کرنے کی کوشش کرتے ہیں جن میں اس طرح ترمیم کی گئی ہے تو ، آپ کو یہ پیغام نظر آئے گا ، "پیکیج فائل پر صحیح طور پر دستخط نہیں ہوئے تھے۔"