हम MITER ATT और CK का अध्ययन करते हैं। मोबाइल मैट्रिसेस: डिवाइस एक्सेस। भाग 1

मोबाइल डिवाइस पर प्रारंभिक एक्सेस (आरंभिक एक्सेस)

सभी भागों के लिंक:
भाग 1. मोबाइल डिवाइस पर प्रारंभिक एक्सेस (आरंभिक एक्सेस)
भाग 2. दृढ़ता और वृद्धि
भाग 3. क्रेडेंशियल एक्सेस प्राप्त करना (क्रेडेंशियल एक्सेस)
भाग 4. रक्षा चोरी
भाग 5. डिस्कवरी और पार्श्व आंदोलन

मैं हैकर हमलों को लागू करने के लिए रणनीति और तकनीक के अध्ययन के लिए समर्पित प्रकाशनों की पिछली श्रृंखला ( पिछले वाले देखें ) शुरू कर रहा हूं, जो MITER ATT & CK ज्ञानकोष में शामिल है । यह अनुभाग साइबर अपराधियों द्वारा मोबाइल उपकरणों पर हमले श्रृंखला के हर चरण में उपयोग की जाने वाली तकनीकों का वर्णन करेगा।

कटौती के तहत - मोबाइल उपकरणों से समझौता करने वाले मुख्य वैक्टर, जिसका उद्देश्य हमलावर द्वारा हमला किए गए सिस्टम में "उपस्थिति" प्राप्त करना है।

लेखक लेख में निर्धारित जानकारी को लागू करने के संभावित परिणामों के लिए जिम्मेदार नहीं है, और कुछ योगों और शर्तों में किए गए संभावित अशुद्धि के लिए भी माफी माँगता है। प्रकाशित जानकारी एटीटी @ सीके मोबाइल मैट्रिसेस: डिवाइस एक्सेस की सामग्री का एक मुफ्त रीटेलिंग है।

एक अधिकृत ऐप स्टोर के माध्यम से एक दुर्भावनापूर्ण एप्लिकेशन की डिलीवरी (अधिकृत ऐप स्टोर के माध्यम से दुर्भावनापूर्ण ऐप वितरित करें)

प्लेटफ़ॉर्म: Android, iOS
विवरण: दुर्भावनापूर्ण एप्लिकेशन किसी हमलावर के लिए मोबाइल उपकरणों पर "मौजूद" होने का सबसे आम तरीका है। मोबाइल ओएस को अक्सर केवल अधिकृत स्टोर (Google Play Store या Apple App Store) से एप्लिकेशन इंस्टॉल करने के लिए कॉन्फ़िगर किया जाता है, इसलिए विरोधी अपने दुर्भावनापूर्ण एप्लिकेशन को अधिकृत एप्लिकेशन स्टोर में रखने का प्रयास कर सकते हैं।

एप्लिकेशन स्टोरों को आमतौर पर डेवलपर पंजीकरण की आवश्यकता होती है और दुर्भावनापूर्ण अनुप्रयोगों का पता लगाने के लिए उपकरण होते हैं, लेकिन प्रतिद्वंद्वी स्टोर संरक्षण को बायपास करने के कुछ तरीकों का उपयोग कर सकते हैं:

• एप्लिकेशन स्टोर से इंस्टॉल करने के बाद एप्लिकेशन निष्पादन के दौरान दुर्भावनापूर्ण कोड डाउनलोड करें;
• फाइलों और सूचनाओं का विरोध;
• समझौता किए गए क्रेडेंशियल्स और बोना फाइड मोबाइल एप्लिकेशन डेवलपर्स के डिजिटल हस्ताक्षर का उपयोग;
• एप्लिकेशन स्टोर में मोबाइल एप्लिकेशन की सुरक्षा के स्वचालित विश्लेषण के लिए सिस्टम को बायपास करने की संभावना का परीक्षण करना

यह निर्धारित करने के लिए कि क्या यह लक्ष्य स्टोर के सुरक्षा विश्लेषण वातावरण में काम करता है और यदि आवश्यक हो, दुर्भावनापूर्ण कोड को दुर्भावनापूर्ण कोड के दुर्भावनापूर्ण कोड को जानबूझकर एक दुर्भावनापूर्ण कोड में रखा जा सकता है। हमलावर नकली पहचान पत्र, भुगतान कार्ड आदि का भी उपयोग कर सकते हैं। दुकानों में दुर्भावनापूर्ण एप्लिकेशन के आगे प्रकाशन के लिए डेवलपर खाते बनाते समय।

इसके अलावा, प्रतिद्वंद्वी Google उपयोगकर्ता खातों का उपयोग नियंत्रित Google खाते से जुड़े एंड्रॉइड डिवाइसों पर अनुप्रयोगों की दूरस्थ स्थापना का लाभ उठाने के लिए भी कर सकते हैं (इस तकनीक का उपयोग करके आप केवल Google Play Store से एप्लिकेशन को दूरस्थ रूप से इंस्टॉल कर सकते हैं)।

सुरक्षा सिफारिशें: कॉर्पोरेट वातावरण में, कमजोरियों और अवांछित कार्यों (दुर्भावनापूर्ण या गोपनीयता का उल्लंघन) के लिए आवेदन जांच करने की सिफारिश की जाती है, आवेदन प्रतिबंध नीतियों को लागू करें या अपनी खुद की डिवाइस (BYOD) नीतियां लाएं (अपने स्वयं के उपकरण) जो प्रतिबंध लगाते हैं डिवाइस के केवल एंटरप्राइज़-नियंत्रित भाग के लिए। प्रशिक्षण, प्रशिक्षण और उपयोगकर्ता गाइड कॉर्पोरेट उपकरणों के एक निश्चित कॉन्फ़िगरेशन का समर्थन करने में मदद करेंगे, और कभी-कभी विशिष्ट जोखिम वाले उपयोगकर्ता कार्यों को भी रोक सकते हैं।

मोबाइल उपकरणों की सुरक्षा के लिए ईएमएम / एमडीएम सिस्टम या अन्य समाधान स्वचालित रूप से कॉर्पोरेट उपकरणों पर अवांछित या दुर्भावनापूर्ण एप्लिकेशन का पता लगा सकते हैं। सॉफ़्टवेयर डेवलपर्स में आमतौर पर अनधिकृत अनुप्रयोगों के लिए एप्लिकेशन स्टोर को स्कैन करने की क्षमता होती है जो उनके डेवलपर आईडी का उपयोग करके भेजे गए थे।

अन्य साधनों का उपयोग करके एक दुर्भावनापूर्ण एप्लिकेशन वितरित करना (अन्य साधनों के माध्यम से दुर्भावनापूर्ण एप्लिकेशन वितरित करें)

प्लेटफ़ॉर्म: Android, iOS
विवरण: लक्ष्य डिवाइस पर तृतीय-पक्ष स्रोतों से एप्लिकेशन इंस्टॉल करने के संभावित निषेध के बावजूद, एक संभावित संभावित जोखिम के जोखिम को कम करने के लिए एक विरोधी जानबूझकर अधिकृत एप्लिकेशन स्टोर में दुर्भावनापूर्ण एप्लिकेशन रखने से बच सकता है।

वैकल्पिक अनुप्रयोग वितरण विधियाँ:

• स्पीचफिशिंग अटैचमेंट - एक ई-मेल संदेश के लिए अनुलग्नक के रूप में आवेदन;
• फ़िशिंग लिंक - एक ईमेल या पाठ संदेश (एसएमएस, iMessage, Hangouts, WhatsApp, आदि) में एक मोबाइल एप्लिकेशन पैकेज का लिंक, एक वेबसाइट, एक क्यूआर कोड बी, आदि;
• थर्ड-पार्टी एप्लिकेशन स्टोर - एप्लिकेशन एप्लीकेशन स्टोर में प्रकाशित होता है, जिसमें अधिकृत स्टोर के समान कोई सुरक्षा नियंत्रण नहीं होता है।

IOS के मामले में, एक विरोधी भी AppStore को प्रकाशित किए बिना दुर्भावनापूर्ण एप्लिकेशन को फैलाने के लिए एक प्रमुख जोड़ी और एंटरप्राइज़ वितरण कुंजी प्रमाणपत्र प्राप्त करने का प्रयास कर सकता है।

सुरक्षा अनुशंसाएँ: iOS में, allowEnterpriseAppTrust और allowEnterpriseAppTrustModification मापदंडों को सक्रिय करके उपयोगकर्ताओं को एंटरप्राइज़ वितरण कुंजी द्वारा हस्ताक्षरित एप्लिकेशन इंस्टॉल करने से रोक देगा ।

iOS संस्करण 9 और इसके बाद के संस्करण को उपयोगकर्ता की स्पष्ट सहमति की आवश्यकता होती है, जो कि ऐपस्टोर से हस्ताक्षरित एंटरप्राइज डिस्ट्रीब्यूशन कुंजी एप्लिकेशन को इंस्टॉल करने के लिए नहीं है, इसलिए उपयोगकर्ताओं को एप्लिकेशन को इंस्टॉल करने के लिए सहमत नहीं होने के लिए प्रशिक्षित किया जाना चाहिए, यदि वे एप्लिकेशन वितरण के स्रोत के बारे में सुनिश्चित नहीं हैं।

एंड्रॉइड पर, तृतीय-पक्ष स्रोतों से एप्लिकेशन इंस्टॉल करने के लिए, "अज्ञात स्रोत" पैरामीटर सक्षम होना चाहिए, इसलिए उपयोगकर्ताओं को इस पैरामीटर को सक्रिय और नियंत्रित करने में प्रशिक्षित किया जाना चाहिए।

मोबाइल उपकरणों की सुरक्षा के लिए ईएमएम / एमडीएम या अन्य समाधान तृतीय-पक्ष स्रोतों से इंस्टॉल किए गए एप्लिकेशन की उपस्थिति की पहचान कर सकते हैं, उन एंड्रॉइड डिवाइसों की पहचान कर सकते हैं जिन्हें तृतीय-पक्ष स्रोतों से एप्लिकेशन इंस्टॉल करने की अनुमति है, और ईमेल संदेशों में एंड्रॉइड या आईओएस एप्लिकेशन पैकेजों की उपस्थिति का निर्धारण करते हैं।

दुर्भावनापूर्ण सामग्री की छाया डाउनलोड (ड्राइव द्वारा समझौता)

प्लेटफ़ॉर्म: Android, iOS
विवरण: एक विरोधी एक छुपी हुई कोड डाउनलोड के माध्यम से एक मोबाइल सिस्टम तक पहुंच प्राप्त कर सकता है, जिसे तब निष्पादित किया जाता है जब कोई उपयोगकर्ता किसी हमलावर द्वारा नियंत्रित वेबसाइट पर जाता है। इस तकनीक के कार्यान्वयन के लिए उपयोगकर्ता के वेब ब्राउज़र में एक समान भेद्यता की आवश्यकता होती है। उदाहरण के लिए, एक वेबसाइट में एंड्रॉइड में स्टेजफ्राइट भेद्यता का फायदा उठाने के लिए डिज़ाइन की गई दुर्भावनापूर्ण मीडिया सामग्री हो सकती है।

सुरक्षा सिफारिशें: आपूर्तिकर्ताओं या मोबाइल ऑपरेटरों से उपकरणों की खरीद करें जो सुरक्षा अद्यतन के त्वरित प्रावधान की गारंटी देते हैं। आपको कमजोर उपकरणों का उपयोग करना बंद कर देना चाहिए जो समर्थन अवधि की समाप्ति के कारण सुरक्षा अपडेट प्राप्त नहीं करते हैं।

कॉर्पोरेट वातावरण में, मोबाइल उपकरणों से कॉर्पोरेट संसाधनों तक पहुंच को प्रतिबंधित करने और ब्लॉक करने की सिफारिश की जाती है, जिस पर नवीनतम सुरक्षा अपडेट स्थापित नहीं होते हैं। पैच के आधार पर एंड्रॉइड डिवाइस से पहुंच को नियंत्रित किया जा सकता है। OS वर्जन के आधार पर iOS उपकरणों से एक्सेस को नियंत्रित किया जा सकता है।

यह केवल मोबाइल ऑपरेटिंग सिस्टम के नवीनतम संस्करणों का उपयोग करने की सिफारिश की जाती है, जो एक नियम के रूप में, न केवल पैच होते हैं, बल्कि एक बेहतर सुरक्षा वास्तुकला भी होती है जो पहले से अनपेक्षित कमजोरियों के लिए प्रतिरोध प्रदान करती है।

चार्जिंग स्टेशन या पीसी के माध्यम से शोषण

प्लेटफ़ॉर्म: Android, iOS
विवरण: एक मोबाइल डिवाइस को (आमतौर पर यूएसबी के माध्यम से) एक समझौता चार्जिंग स्टेशन या पीसी से जोड़ा जा सकता है, जिसके साथ एक विरोधी डिवाइस तक पहुंच प्राप्त करने का प्रयास कर सकता है।

सफल हमलों के प्रसिद्ध प्रदर्शन:

• IOS उपकरणों ( स्रोत ) में दुर्भावनापूर्ण एप्लिकेशन की शुरूआत;
• USB के माध्यम से Nexus 6 या 6P भेद्यता को उजागर करना , जिसमें फोन कॉल, नेटवर्क ट्रैफ़िक और डिवाइस के भौतिक स्थान के बारे में डेटा प्राप्त करना शामिल है;
• Google Pixel 2 के उदाहरण का उपयोग करके USB के माध्यम से Android की कमजोरियों को उजागर करना।

कुछ iOS उपकरणों पर पासवर्ड अनलॉक करने के लिए Cellebrite और Grayshift उत्पादों को डेटा पोर्ट के लिए भौतिक पहुँच का उपयोग करने की उम्मीद है।

सुरक्षा सिफारिशें: कॉर्पोरेट सुरक्षा नीतियों को एंड्रॉइड डिवाइसों पर यूएसबी डिबगिंग को शामिल करने से रोकना चाहिए (यदि यह आवश्यक नहीं है, उदाहरण के लिए, जब डिवाइस अनुप्रयोग विकास के लिए उपयोग किया जाता है)। उन उपकरणों पर जो बूटलोडर को अनलॉक करने की क्षमता प्रदान करते हैं, जिससे आपको फर्मवेयर को संशोधित करने की अनुमति मिलती है, समय-समय पर चेक को वास्तव में बूटलोडर को लॉक करने की आवश्यकता होती है।

यह अनुशंसा नहीं की जाती है कि आप अपने उपकरणों को चार्ज करने के लिए सार्वजनिक चार्जिंग स्टेशन या कंप्यूटर का उपयोग करें। उपयोगकर्ताओं को एक विश्वसनीय आपूर्तिकर्ता से खरीदे गए चार्जर प्रदान करें। जब तक आवश्यक न हो, उपयोगकर्ताओं को विश्वसनीय उपकरण जोड़ने की अनुशंसा नहीं की जाती है।

रेडियो इंटरफेस के माध्यम से शोषण

विवरण: सेलुलर संचार इंटरफेस या अन्य रेडियो इंटरफेस के माध्यम से कमजोरियों का शोषण किया जा सकता है।

बेस बैंड शोषण

रेडियो इंटरफेस (आमतौर पर एक सेलुलर एक, लेकिन ब्लूटूथ, जीपीएस, एनएफसी, वाई-फाई , आदि) के माध्यम से एक मोबाइल डिवाइस पर भेजा गया संदेश उस कोड में भेद्यता का शोषण कर सकता है जो प्राप्त संदेश को संसाधित करता है (उदाहरण के लिए, सैमसंग एस 6 में एक भेद्यता) ।

दुर्भावनापूर्ण एसएमएस

एक एसएमएस में प्राप्त डिवाइस पर एसएमएस विश्लेषक में कमजोरियों का फायदा उठाने के लिए डिज़ाइन की गई सामग्री हो सकती है। एसएमएस में दुर्भावनापूर्ण सामग्री वाली वेबसाइट का लिंक भी हो सकता है। कमजोर सिम कार्ड का एसएमएस संदेशों का उपयोग करके दूरस्थ रूप से शोषण किया जा सकता है।

सुरक्षा सिफारिशें: आपूर्तिकर्ताओं या मोबाइल ऑपरेटरों से उपकरणों की खरीद करें जो सुरक्षा अद्यतन के त्वरित प्रावधान की गारंटी देते हैं। आपको कमजोर उपकरणों का उपयोग करना बंद कर देना चाहिए जो समर्थन अवधि की समाप्ति के कारण सुरक्षा अपडेट प्राप्त नहीं करते हैं।

कॉर्पोरेट वातावरण में, मोबाइल उपकरणों से कॉर्पोरेट संसाधनों तक पहुंच को प्रतिबंधित करने और ब्लॉक करने की सिफारिश की जाती है, जिस पर नवीनतम सुरक्षा अपडेट स्थापित नहीं होते हैं। पैच के आधार पर एंड्रॉइड डिवाइस से पहुंच को नियंत्रित किया जा सकता है। OS वर्जन के आधार पर iOS उपकरणों से एक्सेस को नियंत्रित किया जा सकता है।

यह केवल मोबाइल ऑपरेटिंग सिस्टम के नवीनतम संस्करणों का उपयोग करने की सिफारिश की जाती है, जो एक नियम के रूप में, न केवल पैच होते हैं, बल्कि एक बेहतर सुरक्षा वास्तुकला भी होती है जो पहले से अनपेक्षित कमजोरियों के लिए प्रतिरोध प्रदान करती है।

असुरक्षित या दुर्भावनापूर्ण कॉन्फ़िगरेशन स्थापित करें

प्लेटफ़ॉर्म: Android, iOS
विवरण: एक विरोधी एक फ़िशिंग संदेश या अनुलग्नक या कॉन्फ़िगरेशन मापदंडों के लिए वेब लिंक के रूप में एक कॉन्फ़िगरेशन फ़ाइल वाले पाठ संदेश का उपयोग करके मोबाइल डिवाइस पर एक असुरक्षित या दुर्भावनापूर्ण कॉन्फ़िगरेशन स्थापित करने का प्रयास कर सकता है। कॉन्फ़िगरेशन पैरामीटर सेट करते समय, उपयोगकर्ता को सामाजिक इंजीनियरिंग विधियों का उपयोग करके धोखा दिया जा सकता है। उदाहरण के लिए, प्रमाणीकरण प्राधिकारी (CA) का एक अवांछित प्रमाणपत्र डिवाइस के विश्वसनीय प्रमाणपत्र स्टोर में रखा जा सकता है, जो किसी व्यक्ति के बीच में हमले करने के लिए डिवाइस की संवेदनशीलता को बढ़ाता है।

IOS पर, दुर्भावनापूर्ण कॉन्फ़िगरेशन प्रोफाइल में अवांछित प्रमाणपत्र प्राधिकरण (CA) प्रमाणपत्र या अन्य असुरक्षित सेटिंग्स हो सकती हैं, जैसे कि हमलावर सिस्टम के माध्यम से डिवाइस ट्रैफ़िक को रूट करने के लिए अवांछित प्रॉक्सी या वीपीएन सर्वर का पता। डिवाइस को दुश्मन मोबाइल डिवाइस प्रबंधन प्रणाली (एमडीएम) में भी नामांकित किया जा सकता है।

सुरक्षा सिफारिशें: iOS 10.3 और इसके बाद के संस्करण में, एक अतिरिक्त कदम जोड़ा गया है जिसमें नए विश्वसनीय CA प्रमाणपत्र स्थापित करने के लिए उपयोगकर्ता कार्रवाई की आवश्यकता होती है। एंड्रॉइड पर, एंड्रॉइड 7 और उच्चतर (एपीआई स्तर 24) के साथ संगत अनुप्रयोग, डिफ़ॉल्ट रूप से, केवल ओएस के साथ वितरित होने वाले सीए प्रमाण पत्र पर भरोसा करते हैं, और उपयोगकर्ता या व्यवस्थापक द्वारा नहीं जोड़ा जाता है, जो आमतौर पर मध्य-व्यक्ति के हमलों के लिए ओएस की संवेदनशीलता को कम करता है।

एक नियम के रूप में, असुरक्षित या दुर्भावनापूर्ण कॉन्फ़िगरेशन सेटिंग्स उपयोगकर्ता की सहमति के बिना सेट नहीं की जाती हैं, इसलिए उपयोगकर्ताओं को पता होना चाहिए कि उन्हें अप्रत्याशित कॉन्फ़िगरेशन सेटिंग्स (सीए प्रमाण पत्र, आईओएस कॉन्फ़िगरेशन प्रोफाइल, एमडीएम से कनेक्शन स्थापित करना) सेट नहीं करना चाहिए।

एंड्रॉइड पर, एक उपयोगकर्ता संदिग्ध प्रमाणपत्रों की पहचान करने के लिए डिवाइस सेटिंग्स के माध्यम से विश्वसनीय सीए प्रमाण पत्र देख सकता है। मोबाइल उपकरणों के लिए कॉर्पोरेट सुरक्षा प्रणालियां इसी तरह विसंगतियों के लिए प्रमाण पत्र स्टोर को स्वचालित रूप से जांच सकती हैं।

IOS पर, उपयोगकर्ता डिवाइस सेटिंग्स के माध्यम से स्थापित कॉन्फ़िगरेशन प्रोफाइल देख सकता है और संदिग्ध प्रोफाइल की पहचान कर सकता है। इसी तरह, एमडीएम सिस्टम विसंगतियों के लिए स्थापित प्रोफाइल की सूची की जांच करने के लिए आईओएस एमडीएम एपीआई का उपयोग कर सकता है।

लॉक स्क्रीन बाईपास

प्लेटफ़ॉर्म: Android, iOS
विवरण: मोबाइल डिवाइस पर भौतिक पहुंच होने पर, एक विरोधी डिवाइस की लॉक स्क्रीन को बायपास करने का प्रयास कर सकता है।

बायोमेट्रिक स्पूफिंग

एक प्रतिकूल बायोमेट्रिक प्रमाणीकरण तंत्र को धोखा देने की कोशिश कर सकता है। आईओएस आंशिक रूप से डिवाइस के पासवर्ड की आवश्यकता के द्वारा इस हमले को कम करता है, फिंगरप्रिंट नहीं, प्रत्येक रिबूट के बाद और अंतिम अनलॉक के 48 घंटे बाद। एंड्रॉइड में समान सुरक्षा तंत्र हैं।

अनलॉक कोड या एक सरल खोज का अनुमान लगाएं

जब उपयोगकर्ता उपकरण का उपयोग कर रहा होता है, तो एक विरोधी अनुमान लगाने या किसी अन्य तरीके से एक्सेस कोड का अनुमान लगाने की कोशिश कर सकता है, जिसमें भौतिक अवलोकन (सोहुलडर सर्फिंग) शामिल है।

अन्य लॉक स्क्रीन शोषण करती हैं

एंड्रॉइड 5 और आईओएस 6 और अन्य मोबाइल डिवाइस समय-समय पर प्रदर्शित करते हैं कि लॉक स्क्रीन को बायपास करने के लिए कमजोरियों का फायदा कैसे उठाया जाए। वल्नरेबिलिटी आमतौर पर डिवाइस या ओएस डेवलपर द्वारा तय की जाती है जैसे ही वे अपने अस्तित्व के बारे में जानते हैं।

सुरक्षा सिफारिशें: मोबाइल उपकरणों के लिए कॉर्पोरेट सुरक्षा नीतियों को डिवाइस पर पासवर्ड जटिलता के लिए आवश्यकताओं को निर्धारित करना चाहिए। कॉर्पोरेट नीति में डिवाइस पर सभी डेटा का स्वचालित विनाश शामिल हो सकता है जब बार-बार गलत पासवर्ड दर्ज किया जाता है। इन दोनों नीतियों का उद्देश्य क्रूर बल हमलों को रोकना, अनुमान लगाना या एक्सेस कोड्स की "जासूसी" करना है।

यदि आवश्यक हो, तो कॉर्पोरेट नीति बायोमेट्रिक प्रमाणीकरण को भी प्रतिबंधित कर सकती है। हालाँकि, बायोमेट्रिक प्रमाणीकरण लंबे, जटिल एक्सेस कोड का उपयोग करने की तुलना में अधिक सुविधाजनक है, क्योंकि आपको इसे हर बार दर्ज नहीं करना है।
यह अनुशंसा की जाती है कि आप सुरक्षा अपडेट इंस्टॉल करें और मोबाइल ओएस के नवीनतम संस्करणों का उपयोग करें।

निरस्त आवेदन

प्लेटफ़ॉर्म: Android, iOS
विवरण: एक विरोधी एक एप्लिकेशन डाउनलोड कर सकता है, उसे असंतुष्ट कर सकता है, दुर्भावनापूर्ण कोड जोड़ सकता है, और फिर उसे पुन: एकत्र कर सकता है ( उदाहरण )। पुनर्निमाण एप्लिकेशन मूल जैसा दिखेगा, लेकिन इसमें अतिरिक्त दुर्भावनापूर्ण कार्य होंगे। फिर, ऐसे एप्लिकेशन को एप्लिकेशन स्टोर में प्रकाशित किया जा सकता है या अन्य तकनीकों का उपयोग करके डिवाइस तक पहुंचाया जा सकता है।

सुरक्षा सिफारिशें: केवल अधिकृत स्टोरों से ही एप्लिकेशन इंस्टॉल करें जिसमें दुर्भावनापूर्ण रीपैकेज्ड एप्लिकेशन होने की संभावना कम हो।

EMM / MDM सिस्टम और अन्य एंटरप्राइज़-स्तरीय मोबाइल एप्लिकेशन सुरक्षा उपकरण स्वचालित रूप से उपकरणों पर अवांछित, अज्ञात, असुरक्षित या दुर्भावनापूर्ण एप्लिकेशन का पता लगा सकते हैं।

आपूर्ति श्रृंखला समझौता

प्लेटफ़ॉर्म: Android, iOS
विवरण: डेटा या सिस्टम से समझौता करने के लिए उपभोक्ता द्वारा प्राप्त किए जाने से पहले एक आपूर्ति श्रृंखला समझौता एक सॉफ्टवेयर उत्पाद और उत्पाद वितरण तंत्र का एक संशोधन है। विरोधी अनजाने कमजोरियों का फायदा उठा सकते हैं, इसलिए कई मामलों में यह निर्धारित करना मुश्किल है कि क्या कमजोर कार्यक्षमता दुर्भावनापूर्ण या अनजाने में हुई त्रुटि का परिणाम है।

तृतीय-पक्ष सॉफ़्टवेयर लाइब्रेरी में कमजोरियों की पहचान

मोबाइल एप्लिकेशन में शामिल तृतीय-पक्ष लाइब्रेरी में दुर्भावनापूर्ण कोड हो सकता है जो गोपनीयता का उल्लंघन करता है या कमजोरियां पैदा करता है। मोबाइल विज्ञापन पुस्तकालयों में कमजोरियों और सुरक्षा के मुद्दों के उदाहरण हैं।

दुर्भावनापूर्ण सॉफ़्टवेयर विकास उपकरण का वितरण

जैसा कि XcodeGhost हमले का प्रदर्शन किया है , एप्लिकेशन डेवलपर्स सॉफ़्टवेयर डेवलपमेंट टूल्स (उदाहरण के लिए, कंपाइलर्स) के संशोधित संस्करणों का उपयोग कर सकते हैं जो स्वचालित रूप से एप्लिकेशन में दुर्भावनापूर्ण कोड या कमजोरियों को इंजेक्ट करते हैं।

सुरक्षा सिफारिशें: असुरक्षित तृतीय-पक्ष पुस्तकालयों को विभिन्न आवेदन सत्यापन विधियों द्वारा पता लगाया जा सकता है। उदाहरण के लिए, Google अनुप्रयोग सुरक्षा सुधार कार्यक्रम Google Play स्टोर पर उपलब्ध Android अनुप्रयोगों में ज्ञात कमजोरियों के साथ तीसरे पक्ष के पुस्तकालयों के उपयोग का पता लगाता है। मालवेयर डेवलपमेंट टूल और संशोधित सॉफ्टवेयर डेवलपर्स टूल को डेवलपर्स के कंप्यूटर पर फ़ाइल अखंडता निगरानी प्रणाली का उपयोग करके पता लगाया जा सकता है।