Компания Google сообщила об утечке, результировавшейся в применении сертификатов Samsung, LG и Mediatek с целью подтверждения посредством цифровой подписи небезопасных приложений в интерфейсе смартфонов, базирующихся на Android.
Факт был зафиксирован на платформах, на которых производители помещают и заверяют привилегированные программы, которые входят в стандартный набор системных образов для операционной системы Android. В основном с их помощью совершается подписание системного приложения «android», которое функционирует под присвоенным пользователю символьным именем с наивысшими привилегиями внутри android.uid.system. Оно располагает системным доступом, который включает в себя допуск к пользовательской информации.
В случае, если зловредная программа и аккаунт пользователя были подтверждены одним сертификатом, то вредонос будет сцеплен с таким же пользовательским идентификатором и получит тот же уровень информационного доступа. Авторизация от пользователя в таком случае не является необходимостью. Специалистом Google были определены такие потенциально опасные программы, которые были подтверждены 10 сертификатами.
Приложения содержали в себе код, который позволял перехватить имеющиеся данные и установить внутри имеющейся инфраструктуры определенное количество внешних компонентов.
Google сообщил, что в системном маркетплейсе Play Store подобные приложения не размещены. Более того, технология выявления вредоносных программ уже была интегрирована в Google Play Protect и пилотный набор Build Test Suite, который используются для мониторинга системных образов.
Для устранения возможности дальнейшего использования скомпрометированных сертификатов, Google разработал ряд рекомендаций для производителей. Было предложено сменить привязанные к платформам сертификаты, сгенерировать для них новые исходные ключи и минимизировать число количество приложений, для подписи которых необходим платформенный сертификат; компания также обозначила важность проведения внутреннего расследования с целью выявления причины утечки.