SMS trojan ohrožuje uživatelé Androidu

Tim akorat potvrdili puvodni blogpost, ze malware vytvari samotni autori antiviru. Tak jeden vytvorili, hodili na Market a ted se tim chlubi.
Tak jak tak, aplikace pri instalaci vyzaduje opravneni 'odesilat SMS'. Kdo tohle schvali, musi chapat dusledky.

Tak on je totiz krapet rozdil mezi virem (programem, ktery infikuje kod jinych programu) a obycejnou skodlivou aplikaci, ktera jen nedela to, co o sobe tvrdi. Ten trojan je jen variantou prikazu "rm -rf /*" pro "odinstalaci programu z disku", "smazani cache yumu", apod.

1. ano, je to tak
2. ano, prava se kontroluji a aplikace dostane Exception ve chvili, kdy pouzije neco, na co si v manifestu nerekla o prava

A ne, kontroly nemaji nic do sebe. Jak chcete odhalit, ze aplikace dela to co tvrdi a nedela nic navic? Dekompilaci? Projitim kazdeho jednotliveho radku kodu? Vzdyt to je NP problem. Podle me je spravne reseni 'testovano na lidech'. Nekdo se spali, pri odinstalaci rekne ze je to podvodna aplikace, automat v Google zareaguje a aplikaci stahne. A kdyz ne, tak hodnoceni aplikace bude pod bodem mrazu a nikdo ji nebude instalovat.

ted mi doslo, ze na prvni otazku jsem neodpovedel nejlepe :). To co je videt z marketu je nacitano z manifest souboru, ktery je zaroven pouzivan pro vynuceni opravneni. Nemuzu si tam tedy vymyslet nejake hlouposti.

Ta aplikace je skodliva jen v takovem bananistanu jako CR, kde operator neuznava reklmace a tvrdi mi nemuzem nic delat ty k*ot* za* polib nam p* ....
V civilizovanych zemich se to reklamuje, zjisti se, ze je to podvodnik a dane cislo operator proste odstrihne a basta, trestni oznameni poda sam a na podvodneho operatora proste nezasle penize s oduvodnenim a mozna i podanim trestniho oznameni, ze mu vznikla skoda, nebot slusny operator zakaznika haji a ne ze se bude tvarit, ze on nic, on jen prenasi vodu ...

Ohledně bezpečnosti se stačí inspirovat u konkurence. Při použití vhodného jazyka (Java, cokoliv z .NETu) lze analyzovat bytecode, a vyloučit možnost, že aplikace volá nepovolené funkce. Když to zkombinujete se sandboxingem (například přístup jen k vlastním souborům aplikace) a interfacem pro předávání dat mezi aplikacemi (například permissions pro přístup ke kontaktům), rizika se minimalizují. Dále je dobré vynucovat digitální podpisy, aby bylo jasné, kdo za kódem stojí (ať je koho zmáčknout, když aplikace dělá co nemá).

Vždyť to tak i je. Aplikace pro Android jsou napsané v Javě a nemohou volat nic v API, aniž by to měly v manifestu a uživatel to neodsouhlasil. Problém je v tom, že když uživatel odklepne "Odesílání SMS", tak nelze předpovědět, zda to bude 1000 SMS na draze placená čísla. To se dá prakticky jenom heuristickou nebo lidskou analýzou a to Google nedělá (na rozdíl od Applu a MS).

Sandboxing Android samozřejmě dělá — jak u Javy tak u nativních aplikací (protože ty stejně musejí volat Javu přes JNI). Pokud zkusíte odeslat SMS z aplikace, která to nemá povolené, Java vám vynadá, že ta třída neexistuje, protože ji nedokáže naimportovat, jelikož nejste v příslušné unixové skupině (osobně vyzkoušeno). Ta aplikace ale má povolené odesílání SMS, takže z hlediska systému dělá to, co má povolené. Jako windowsák byste už mohl vědět, že tyhle ochrany jsou značně nedokonalé, protože spoléhají na to,ž e uživatel není blbec ;-)

Digitální podpisy samozřejmě Google používá taky, ale těmi stejně nikoho nezmáčknete, protože není žádná globální autorita, která by mohla ověřovat totožnost. Proto můžete používat podpisy, jejichž certifikáty si sami podepíšete, resp. u Apple je podepisuje Apple, ale kontroluje se prakticky jenom platnost e-mailu.

Pro Android jsem nepsal, ale pokud vím, tak Native Development Toolkit poskytuje mimo jiné jistou verzi libc.

Apple i MS to řeší tak, že se platí za účast v programu vývoje. Samozřejmě pokud je kreditka kradená, je to problém. Ovšem i pak je tam strojová i manuální analýza bytecode, kterou musí aplikace projít (minimálně u MS).

...posilat sms na zahranicni premiova cisla?

Jinak stale se tu mluvi o antivirech, ale nikdy sem nevidel vetu ano, nas antivirus by tomuto konkretnimu problemu predesel.

To ze se nekde pise ze malware stoupl o xx% je opravdu vtipne, protoze kdyz bylo 10 skodlivych aplikaci a ted jich je 20, a to vse na treba 500 000. Tak opravdu 100% narust "hodne" znamena. Nemluvic o tom ze 20 z 20 takovychto aplikaci je po par hodinach/dnech vymazano z marketu a telefonu.

Mimochodem kdy uz se naucime odpovednosti za nase kliknuti - kdyz stahuju aplikaci a vidim full internet access tak sem si vedom toho ze muze poslat do interntu opravdu kde co.

Hlavne bych upresnil ze se nejedna o virus a tedy se nesiri sam ale si ho uzivatel musi naistalovat sam. A jak se pise vsude mozne ... lidske blbosti ani antivir nepomuze ...

Zablokovat prémiové SMS znamená, že si nekoupíte přes SMS lístek MHD, nezaplatíte za parkovné, poplatek u doktora apod. A zablokovat si hovory do zahraničí? To snad nemůžete myslet vážně.

Na prvním místě chci ukázat, jak je současná situace absurdní z hlediska uživatele. S "hloupým" telefonem prostě telefonuje. U chytrého telefonu může mít hromadu praktických aplikací, které mu ale mohou z telefonu podvodně vynést informace, nebo mu dokonce nadělat hromady dluhů. A to i když jde o aplikace z oficiálního seznamu, tedy z Marketu. Vy i já rizika známe a nějak se s tím popereme; aplikace budeme vybírat tak pečlivě, jako při instalaci na PC. Ale jak tohle chcete vysvětlit ženám v domácnosti, důchodcům a dětem? U PC téhle skupině lidí všichni říkali, že si nemají nic instalovat, a vůbec mají péči o počítač nechat někomu znalému. Jenže kdo se chce dostat do stádia, kdy musí mít vlastního ajťáka i na obsluhu telefonu?

Blokování služeb je nesmyslné proto, že pak se svým chytrým mobilem nemůžete dělat ani to, co s tradičním hloupým mobilem. Žijete v maličké zemi s 10M obyvateli, takže skoro všichni volají někam do zahraničí, nebo tam jezdí. A žijete ve 21. století, kdy jsou platby mobilem poměrně běžnou součástí života. V rozvojovém světě se dokonce kredit na mobilu používá místo bankovního účtu, takže můžete sousedovi zaplatit za kozu převodem kreditu na jeho číslo :). Nikomu z těchto zákazníků se nebude líbit, že si stáhne z Marketu Tetris nebo měnič pozadí, který rozešle jeho intimní fotky a vybrakuje mu jeho bankovní účet.
http://en.wikipedia.org/wiki/Cell_phone_banking#Mobile_banking_in_the_world

Pekny FUD s tym Tetrisom.
Fakt by som rad vedel, kolko platia... A tiez, ci je to vlastna tvorivost, alebo je to z nejakeho manualu.