Как бы сильно компания Google не старалась сделать операционную систему Android максимально защищенной, хакеры регулярно находят новые бреши в системе защиты, некоторые из которых зачастую оказываются критическими. Сегодня выяснилось, что во всех Android-смартфонах имеется баг, который позволяет взламывать системные приложения, причем делается это даже без root-прав, то есть в зоне риска находятся абсолютно все владельцы современных мобильных устройств и планшетов.
В ходе своего доклада группа бельгийских исследователей компьютерной безопасности из компании GuardSquare сообщила о том, что ей удалось обнаружить в операционной системе Android критическую уязвимость, позволяющую производить взлом системных приложений. Отмечается, что в основе этой бреши лежит баг в системе. С его помощью злоумышленники и недобросовестные разработчики могут вносить изменений в APK-файлы приложений или игр без повреждениях их подписи. 
Редакция AKKet.com хочет заметить, что когда какой-то разработчик создает готовый APK-файл приложения для последующего распространения, то он подписывает его своим сертификатом, гарантирующим, что в процессоре распространения он не будет кем-то изменен. Системные приложения работает по точно такому же принципу. Обнаруженный баг позволяет вносить в файлы любых программ и игр изменения таким образом, чтобы подпись разработчика, а в данном случае компании Google, не нарушалась.
Обнаруженный экспертами баг работает во всех версиях операционной системы Android, однако в полной мере только в паре с JAR-подписями, которые были замерены на Signature Scheme v2 в операционной системе Android 7.0 Nougat. Даже на смотря на замену способа проверки подписи, очень многие системные и сторонние приложения даже на Android 8.0 Oreo могут быть изменены без нарушения подписи разработчика. На более ранних версиях ОС этот способ работает абсолютно со всем ПО.
Не смотря на то, что компания GuardSquare сообщила в Google об обнаруженном баге еще 31 июля, то есть сразу после его обнаружения, исправлен он был только в декабрьском патче безопасности, который сейчас доступен менее чем на 1% мобильных устройств на рынке. Всем владельцам смартфонов следует как можно скорее установить его, если он доступен, тогда как всем остальным надеяться, что вредоносное ПО никогда не решит воспользоваться багом в работе системы проверки подписей. Взято с akket.com