גוגל תיקנה חלק מהפרצות באנדרואיד – אך מיליוני מכשירים עדיין חשופים

גוגל (Google) תיקנה שלוש מארבע הפגיעויות שנמצאו בשבבי קוואלקום (Qualcomm) המותקנים בכמעט מיליארד מכשירי טלפון חכם וטאבלטים מבוססי אנדרואיד (Android) – אך למרות זאת, עשרות רבות של מיליוני מכשירים עדיין חשופים למתקפות.

צ'ק פוינט (Check Point) הציגה בתחילת השבוע בכנס Def Con שהתקיים בלאס וגאס את הפגיעויות. חוקרי ענקית האבטחה הישראלית מצאו ארבע חולשות אבטחה בשבבי המובייל שמייצרת קוואלקום.

מכשירי אנדרואיד שבהם מותקנים השבבים, חשופים לתקיפות המאפשרות להאקרים להשיג שליטה מוחלטת על המכשיר. צ'ק פוינט דיווחה לקוואלקום על החולשות, והיא שחררה עדכוני תוכנה ליצרני ולמפיצי המכשירים. החוקרים גילו סדרה של ארבע חולשות אבטחה בתוכנה המותקנת בשבבים. את החולשות הללו, המאפשרות לתוקפים להשיג שליטה מלאה במכשיר, כינו החוקרים בשם QuadRooter.

לנצל נקודות תורפה

אתמול (ג') הודיעה גוגל כי תיקנה שלוש מארבע הפגיעויות, במסגרת ההטלאות של אוגוסט, וברביעית היא תטפל כנראה בעדכון האבטחה בספטמבר. עם זאת, ציינו חוקרים, המצב הנוכחי מותיר מיליונים רבים של טלפונים חכמים וטאבלטים חשופים ופגיעים לאיומים. זאת, בשל הנחת העבודה שברוב המכשירים הנמצאים בשוק כיום לא יבוצעו עדכוני אבטחה.

כך, ציינו חוקרי אבטחה עצמאיים, למרות הודעת גוגל כי טיפלה בפגיעויות, וכי רוב המכשירים מסך 900 המיליון שנמצאו בסיכון – אינם בעלי פוטנציאל נזק – עדיין, יש מספר עצום של מכשירים מבוססי אנדרואיד שאינם בטוחים כלל.

על פי הודעת גוגל, רכיב אבטחה הופעל כברירת מחדל ומהווה חלק משירותי Google Play במכשירים המבוססים על Android 4.2 Jelly Bean והגרסאות החדשות יותר של מערכת ההפעלה. הרכיב אמור למנוע את התקנתן והפעלתן של הנוזקות.

להשיג שליטה מלאה במכשיר

הרכיב, Verify Apps, שולב לטובת תרחישי איומים כגון האיום שהתגלה. הוא סורק קבצי APK לפני ההתקנה שלהם, כדי לראות אם הם מציגים איום אבטחה על המכשירים והמשתמשים שלהם. לדברי גוגל, הרכיב, יחד עם SafetyNet, "יעזור לזהות, לחסום, ולהסיר יישומים המנצלים נקודות תורפה שכאלו".

חוקרי האבטחה ציינו כי המשמעות היא ש-10% מהמכשירים – כ-90 מיליון – שהם בדור ישן יותר של מערכת ההפעלה, נמצאים בסיכון גבוה, שכן שם הרכיב אינו מופעל כברירת מחדל. כך או כך, משתמשי אנדרואיד עדיין מקווים כי גוגל ושותפות החומרה שלה היו ינפיקו את תיקוני האבטחה בחודש הבא בהקדם האפשרי.

חוקרי צ'ק פוינט מצאו כי החולשות מצויות במנהלי ההתקן (drivers) שעל גבי השבבים. האקרים עלולים לנצל את חולשות QuadRooter כדי לחדור למערכת האנדרואיד ולהשיג שליטה מלאה במכשיר (root access). הרשאת root במכשיר מאפשרת לתוקף להוריד למכשיר אפליקציות זדוניות ובאמצעותן לבצע פעולות שונות, כמו מחיקה והוספה של אפליקציות, מעקב GPS, וגישה להתקני חומרה שעל גבי המכשיר – דוגמת מסך המגע, המצלמה והמיקרופון.

מומחי אבטחה ציינו כי למרות חומרת הפגיעות, טרם דווח על האקרים שהצליחו לנצל אותן ולגנוב מידע.

קוואלקום מסרה בתגובה כי "אבטחה חזקה ושמירה אדוקה על הפרטיות ניצבות בראש סדר העדיפויות של הטכנולוגיות שמספקת החברה. כשנודע לנו על ידי הסוקר על גילויין של ארבע פרצות האבטחה הללו במהלך החודשים פברואר-אפריל 2016, שחררנו עדכוני תוכנה עבור כולן במהלך החודשים אפריל-יולי. עדכוני האבטחה זמינים עבור לקוחות, שותפים וקהילת הקוד הפתוח, וכן פורסמו באתר CodeAurora".

"QTI ממשיכה לפעול בצורה יזומה – הן ברמה הפנים-ארגונית והן במסגרת שיתוף פעולה עם חוקרי אבטחה – על מנת לזהות פרצות אבטחה פוטנציאליות ולספק להן פתרונות מהירים".