Opnieuw problemen voor Android: weer groot lek gevonden

Na de ernstige Stagefright-bug is het opnieuw mogelijk om een Android-toestel geheel over te nemen. Nu via de remote support-functies.

Onderzoekers van beveiligingsbedrijf Check Point hebben hun bevindingen gepresenteerd tijdens de hackersconferentie Black Hat in Las Vegas.

Certifi-gate

Check Point noemt het lek Certifi-gate, omdat het misbruik maakt van de beveiligingscertificaten die worden gebruikt bij de remote support-functies van Android. Remote support maakt het mogelijk voor fabrikanten om via internet technische ondersteuning te leveren.

Om te laten zien dat de ondersteuning daadwerkelijk van de betreffende fabrikant komt, vraagt Android een beveiligingscertificaat op. Check Point heeft een manier gevonden om zo'n beveiligingscertificaat te spoofen en aan derden de volledige toegang tot een Android-systeem te geven.

Beschermen

Door de remote support-functies van Android te misbruiken, kan een kwaadwillende alles zien wat de gebruiker op zijn Android doet en de controle overnemen. Daarnaast weet de gebruiker niet dat er wordt ingebroken op zijn smartphone.

Het is tevens niet mogelijk om je als gebruiker te beschermen tegen een dergelijke aanval: de beveiligingscertificaten krijgen standaard door remote support alle rechten toegewezen.

App

Check Point heeft een gratis app uitgebracht waarmee Android-gebruikers kunnen controleren of de kwetsbaarheid op hun apparaat voorkomt.

Het lek is bij fabrikanten bekend, die zijn begonnen met het verspreiden van updates om Certifi-gate te verhelpen. Nexus-toestellen hebben geen last van het probleem.

Check Point

"Wereldwijd worden mobiele apparaten iedere dag gebruikt om belangrijke aspecten van het dagelijkse leven te beheren: toegang tot de zakelijke e-mail, het regelen van bankzaken en het tracken van informatie over de gezondheid", zegt Dorit Dor, vicepresident Products bij Check Point.

"Het probleem is dat men te weinig stilstaat bij de veiligheid van hun data. Het gevonden beveiligingslek is gemakkelijk uit te buiten en kan ertoe leiden dat persoonlijke data gestolen en verspreid wordt. Het is tijd mobiele beveiliging serieus te nemen."

Stagefright

Certify-gate komt kort na een ander groot Android-lek: Stagefright. Dit is een kwetsbaarheid in het videoframework van Android. Door de kwetsbaarheid kunnen kwaadwillenden malware injecteren zonder dat de gebruiker zelf iets doet, door bijvoorbeeld een video via MMS of zelfs Whatsapp te versturen. Video wordt dan automatisch gedownload en dan is het al te laat.

Fabrikanten hebben inmiddels gereageerd op dit lek en zijn actief bezig om patches voor smartphones en tablets uit te rollen