В Android нашли уязвимость безопасности SD-карт. Под угрозой — браузер Xiaomi и переводчики Google и «Яндекса»

Александр Фаст

Израильские специалисты по IT-безопасности обнаружили уязвимость во внешних хранилищах Android-устройств. Через неё приложения на гаджете пользователя могут заразить вредоносным кодом, а на сам девайс установить вредоносные программы.

Обычно Android-устройства хранят данные приложений во внутренней памяти — это более безопасная среда, которую в Google изолировали от внешнего воздействия.

Однако в подобных гаджетах также существует внешнее хранилище. В него программы могут сгружать более тяжёлый контент: например, мессенджеры сохраняют туда пользовательские картинки. Обычно внешним хранилищем служат SD-карты, иногда — часть памяти самого устройства. В обоих случаях у них нет системной защиты.

Некоторые приложения (даже предустанавливаемые) сохраняют во внешнее хранилище куски собственного кода — вопреки гайдлайнам Google. Cпециалисты по IT-безопасности из израильской компании Check Point обнаружили в этом механизме уязвимость, позволяющую подсаживать вредоносный код в популярные программы.

У алгоритма, который в Check Point назвали Man-in-the-Disk (MitD, «Человек-в-диске»), есть два способа атаковать мобильные программы. В обоих случаях всё начинается с «на вид безопасного приложения»: пользователь скачивает его на своё устройство и предоставляет ему разрешение на использование внешней памяти.

Получив доступ к хранилищу, MitD начинает изменять окружающий его код. На этом этапе появляются два различных сценария атаки: алгоритм либо подсаживает сторонний код в само приложение, либо заставляет под видом очередного обновления скачать отдельное «нежелательное приложение».

По словам представителей Check Point, среди находящихся под угрозой программ оказались как минимум три сервиса от самого Google: онлайн-переводчик сайта, а также утилиты для голосового набора и преобразования текста в голос.

В отчёте израильских специалистов фигурируют и другие сервисы — например, онлайн-переводчик от «Яндекса» и стандартный браузер для оболочки MIUI от Xiaomi.

Пример заражения устройства через Mi Browser с помощью алгоритма MitD

Специалисты Check Point добавили, что в текущей ситуации Google уже не будет достаточно обычных гайдлайнов и компания не сможет просто переложить ответственность за появление уязвимости на сторонних разработчиков.

Защита самой операционной системы, лежащей в основе программ, — единственное долгосрочное решение для защиты от найденного механизма, — пишет в своём отчёте Check Point.

По данным издания Engadget, упомянутые в израильском отчёте разработчики (включая Google) либо уже защитили свои приложения от алгоритма MitD, либо уже занимаются этим. В разговоре с корреспондентом Medialeaks пресс-секретарь «Яндекса» Илья Грабовский заявил, что специалисты российской компании ознакомятся с отчётом израильских коллег.

Переводчик «Яндекса» оказался в центре внимания всего через неделю после того, как яндексовскую «Алису» заподозрили в оппозиционности: виртуальный помощник начал отвечать на вопросы про Путина цитатами из либеральных СМИ. Тихая радость оппозиционеров продолжалась до того момента, пока на шутки об «Алисе» не обратил внимание Алексей Навальный.

А переводчик Google пугает пользователей не только проблемами с безопасностью устройств, но и грядущим судным днём: в конце июля в сервисе обнаружили апокалиптический перевод последовательности очень простых слов.

Для самих же производителей гаджетов Xiaomi лето 2018 года и вовсе превратилось в череду громких неудач: сначала компания провела IPO хуже прогнозов, а затем случайно разослала корпоративную памятку о том, как сотрудникам стоит общаться с журналистами, самим журналистам.

Блогер вчитался в текст песни Леди Гаги «Poker Face» и удивил фанатов. Весь мир годами слушал запретные слова Блогер вчитался в текст песни Леди Гаги «Poker Face» и удивил фанатов. Весь мир годами слушал запретные слова Космический разгон, но играть можно на диване. 10 признаков хорошего ноутбука для гейминга Космический разгон, но играть можно на диване. 10 признаков хорошего ноутбука для гейминга Блогер взялся за молоток, и к нему пришла слава. То, что он делает инструментом, достойно серии «Рика и Морти» Блогер взялся за молоток, и к нему пришла слава. То, что он делает инструментом, достойно серии «Рика и Морти» Студент бросил университет, но родители быстро забыли о переживаниях. Ведь теперь их сыну завидуют все женщины Студент бросил университет, но родители быстро забыли о переживаниях. Ведь теперь их сыну завидуют все женщины Как получить права в Москве. Учимся онлайн, сдаем с первого раза (но это не точно) Генри Кавилл когда-то встречался с Джиной Карано, и интернет всё помнит. Но «отменить» Супермена фаны не дали Генри Кавилл когда-то встречался с Джиной Карано, и интернет всё помнит. Но «отменить» Супермена фаны не дали Не носки и не кастрюли. Гид по подаркам к гендерным праздникам Не носки и не кастрюли. Гид по подаркам к гендерным праздникам Коллеги в шутку прошли ДНК-тест и лишились покоя. Оказалось, их связывает не только работа, но и общее прошлое Коллеги в шутку прошли ДНК-тест и лишились покоя. Оказалось, их связывает не только работа, но и общее прошлое Блогеру не хватало реализма в играх, и он усилил виброотдачу. Теперь геймер может устроить дома землетрясение Племянница нашла старый альбом тёти и узнала её тайну. У родственницы в молодости не было отбоя от киноактёров Блогерша превращается в эмодзи, и это косплей нового уровня. Всё, что нужно девушке — свои волосы Блогерша превращается в эмодзи, и это косплей нового уровня. Всё, что нужно девушке — свои волосы Фаны Билли Айлиш хейтят экс-бойфренда певицы, и дело в документалке. Ведь им не даёт покоя возраст бывшей пары Фаны Билли Айлиш хейтят экс-бойфренда певицы, и дело в документалке. Ведь им не даёт покоя возраст бывшей пары Доктор объяснил, почему нужно менять подушку, и брезгливые покинули чат. Ведь после видео её захочется сжечь Доктор объяснил, почему нужно менять подушку, и брезгливые покинули чат. Ведь после видео её захочется сжечь Хозяин квартиры увидел в окне соседки напротив странные знаки. Расшифровав их, он оказался на пороге отношений Хозяин квартиры увидел в окне соседки напротив странные знаки. Расшифровав их, он оказался на пороге отношений Вор выхватил сумку у старушки, но сделал это без уважения. В ответ она отбила у него достоинство и честь Вор выхватил сумку у старушки, но сделал это без уважения. В ответ она отбила у него достоинство и честь Тиктокерша показала три своих лица, и мутации тут ни при чём. Дело в масках, которые проведут даже Шерлока Тиктокерша показала три своих лица, и мутации тут ни при чём. Дело в масках, которые проведут даже Шерлока Блогерша удивилась, что Карлайл Каллен богаче Тони Старка. Но фаны саги уже пояснили, как врач нажил миллиарды Блогерша удивилась, что Карлайл Каллен богаче Тони Старка. Но фаны саги уже пояснили, как врач нажил миллиарды Полиция семь часов осаждала дом, уговаривая хозяина сдаться. Всё это время они болтали со стеной — буквально Змееловы показали фото травы и озадачили людей. На снимке есть питон, но вы сначала попробуйте его найти Змееловы показали фото травы и озадачили людей. На снимке есть питон, но вы сначала попробуйте его найти Смельчак построил антигравитационный дом, и он великолепен. Был, пока гравитация не победила и не сломала его Смельчак построил антигравитационный дом, и он великолепен. Был, пока гравитация не победила и не сломала его Блогер нашёл способ посмотреть сны грибов со звуком. Это натуральный рейв, но танцевать под такое не захочется Блогер нашёл способ посмотреть сны грибов со звуком. Это натуральный рейв, но танцевать под такое не захочется Если у Слендермена есть сестра, то с лишними суставами на пальцах. Как у реддиторши, показавшей такие на видео Если у Слендермена есть сестра, то с лишними суставами на пальцах. Как у реддиторши, показавшей такие на видео Нейросеть превращает фото в живые картины из «Гарри Поттера». Выглядит как магия, но из сломанной палочки Рона Спасатели нашли оленя, но его глаза — сюжет для хоррора. Из них растут волосы, и развидеть это не получится Спасатели нашли оленя, но его глаза — сюжет для хоррора. Из них растут волосы, и развидеть это не получится Старик закрылся в однушке с пятью компами, но он не геймер. Его игрушка — марсоход NASA на Красной планете Старик закрылся в однушке с пятью компами, но он не геймер. Его игрушка — марсоход NASA на Красной планете Туристка нашла на пляже объект из далёкого космоса, но пришельцы здесь ни причём. В деле замешаны русские Туристка нашла на пляже объект из далёкого космоса, но пришельцы здесь ни причём. В деле замешаны русские Деревья двигаются не только во «Властелине колец». Оператор сняла оживший сад, и он находится не в Средиземье Пластический хирург нашёл способ избежать штрафа за нарушение ПДД. Он просто сделал свою работу и пришёл в суд Школьницу выгнали с уроков из-за смелого платья. Всё бы ничего, но её папа выбрал самое строгое из возможных Школьницу выгнали с уроков из-за смелого платья. Всё бы ничего, но её папа выбрал самое строгое из возможных Фотограф заснял цветущую сакуру, и у него вышел кадр из аниме. Но главным героем оказалась совсем не вишня Фотограф заснял цветущую сакуру, и у него вышел кадр из аниме. Но главным героем оказалась совсем не вишня Математики вычислили самую красивую породу собак с помощью золотого сечения. Похоже, Круэлла знала, что делала Математики вычислили самую красивую породу собак с помощью золотого сечения. Похоже, Круэлла знала, что делала Полицейский ходит на работу и ловит преступников, но прославился не этим. Вы удивитесь, узнав, сколько ему лет Полицейский ходит на работу и ловит преступников, но прославился не этим. Вы удивитесь, узнав, сколько ему лет Собаку постригли, и теперь это не пёс, а мем. Фрэнк Галлагер на четырёх лапах выглядел бы именно так Собаку постригли, и теперь это не пёс, а мем. Фрэнк Галлагер на четырёх лапах выглядел бы именно так Клиентка купила iPhone и такой модели не видела. Яблоко в коробке было, правда, не в том виде, как ей хотелось Клиентка купила iPhone и такой модели не видела. Яблоко в коробке было, правда, не в том виде, как ей хотелось Хозяйка захотела поиграть с рыбкой, и та отстояла честь вида. Чешуйчатая победила кожаную в крестики-нолики Хозяйка захотела поиграть с рыбкой, и та отстояла честь вида. Чешуйчатая победила кожаную в крестики-нолики Водитель думал, что увидел торнадо, пока не подъехал ближе. Из столпа смерча на него посмотрели миллионы глаз