सुरक्षा सप्ताह 24: एंड्रॉइड स्मार्टफोन पर फ़ैक्टरी बैकडोर

एंड्रॉइड स्मार्टफोन की सुरक्षा के बारे में पिछले सप्ताह समृद्ध था। कई मीडिया आउटलेट्स (उदाहरण के लिए, ArsTechnica ) ने लिखा है कि Google ने "कारखाने में पूर्व-स्थापित" के साथ स्मार्टफोन बेचने की बात की पुष्टि की है। इस तरह की सुर्खियों का कारण Google के विशेषज्ञ लुकाज़ सेवरस्की द्वारा पूरी तरह से तकनीकी लेख था, जिसमें मोबाइल मैलवेयर के ट्रायडा परिवार का विश्लेषण था।

ट्रायडा 2016 के बाद से शोधकर्ताओं (सहित, निश्चित रूप से, Google टीम) के लिए जाना जाता है। पहली बार, एक पिछले दरवाजे का वर्णन कैस्पर्सकी लैब विशेषज्ञों ( यहां और यहां ) द्वारा किया गया था। इन दो सामग्रियों ने ऑपरेटिंग सिस्टम में दुर्भावनापूर्ण कोड की शुरूआत (Android 4.x के रूप में जल्दी), उपयोगकर्ता डेटा के संग्रह और भेजने और बैनर विज्ञापनों को प्रदर्शित करने के लिए कई ब्राउज़रों के संशोधन का विस्तार किया।

एंड्रॉइड सिक्योरिटी टीम के प्रतिनिधि के पद पर वास्तव में क्या दिलचस्प है, इस सवाल का जवाब है कि फोन के फर्मवेयर में दुर्भावनापूर्ण कोड कैसे मिला। चीनी बजट उपकरणों के डेवलपर्स ने अतिरिक्त सुविधाओं को विकसित करने के लिए ठेकेदारों से संपर्क किया है। ऐसे ठेकेदार के माध्यम से, सिस्टम में एक पिछले दरवाजे का निर्माण किया गया था।

2016 के कास्परस्की लैब के अध्ययन में ट्रायडा वैरिएंट का वर्णन किया गया है, जिसे चीनी निर्माताओं के फोन पर प्रीइंस्टॉल्ड किया जा सकता है, लेकिन यह किसी अन्य स्मार्टफोन पर हमला करने में भी सक्षम था। Triada ने Android 4.x के वर्तमान संस्करण में कमजोरियों का फायदा उठाया। पिछले दरवाजे की एक अनूठी विशेषता Zygote के रूप में ज्ञात एक प्रमुख एंड्रॉइड प्रक्रिया में एकीकृत करने की क्षमता थी।


इस दृष्टिकोण ने ट्रोजन को डिवाइस पर लगभग पूर्ण नियंत्रण प्रदान किया। एंड्रॉइड सिक्योरिटी टीम के एक लेख में एक और विस्तार से जानकारी दी गई है: सिस्टम प्रक्रियाओं पर नियंत्रण पाने के लिए ट्रायडा ने संशोधित सु बाइनरी का उपयोग किया। उन्होंने एप्लिकेशन सुपरसुसर विशेषाधिकारों को केवल तभी दिया जब उन्होंने सही पासवर्ड के साथ अनुरोध किया।
इसके अलावा, लुकाज़ सेवर्सकी द्वारा पोस्ट में, यह बताता है कि पिछले दरवाजे ने कैसे ट्रैक किया जो उपयोगकर्ता द्वारा खोला गया था। यदि यह एक ब्राउज़र था, तो इसके शीर्ष पर विज्ञापन प्रदर्शित होते थे। यदि Google Play स्टोर खोला गया, तो पृष्ठभूमि में Triada ने अपने स्वयं के कमांड सर्वर से एप्लिकेशन डाउनलोड और इंस्टॉल किए।

2017 में, Dr.Web ने अपने अध्ययन में कारखाने के पिछले दरवाजे से संक्रमित स्मार्टफ़ोन के उदाहरणों का हवाला दिया: Leagoo M5 Plus, Leagoo M8, Nomu S10 और S20। सस्ती (लगभग $ 100) उपकरण चीन और पश्चिम दोनों में बेचे गए थे, जिनमें से कुछ अभी भी चीनी ऑनलाइन स्टोर में पाए जा सकते हैं।


हाल के एक लेख में, Google ने Triada के "फ़ैक्टरी" संस्करण को लागू करने के लिए एक योजना का खुलासा किया (ऊपर चित्र देखें)। जाहिर है, स्मार्टफोन प्रदाता एंड्रॉइड ओपन सोर्स प्रोजेक्ट में उपलब्ध डिवाइस के फर्मवेयर में अतिरिक्त कार्यक्षमता को शामिल करने के लिए तीसरे पक्ष की कंपनियों में बदल गए। इसके लिए, ठेकेदार को एक सिस्टम इमेज भेजी गई थी (यहुओ और ब्लेज़फायर द्वारा उल्लिखित)। वह एक परिशिष्ट के साथ लौटा - दोनों वैध (मालिक के चेहरे में ताला खोलने) और दुर्भावनापूर्ण। Google ने बताया कि, डिवाइस डेवलपर्स के साथ, उन्होंने फर्मवेयर से पिछले दरवाजे के निशान को हटा दिया।

लेकिन, जाहिर है, केवल इस पिछले दरवाजे। 7 जून को, जर्मनी के सूचना सुरक्षा प्रशासन (BSI) के प्रतिनिधियों ने चार बजट स्मार्टफोन में Xgen2-CY पिछले दरवाजे की खोज के बारे में ( समाचार ) रिपोर्ट की। Doogee BL7000, M-Horse Pure 1, Keecoo P11 और VKworld मिक्स प्लस मॉडल उपयोगकर्ता जानकारी एकत्र करते हैं और इसे कमांड सर्वर को भेजते हैं, वे उपयोगकर्ता के ज्ञान के बिना एक ब्राउज़र में एप्लिकेशन और खुले पृष्ठ स्थापित करने में सक्षम हैं। केवल Keecoo P11 मॉडल (5.7 इंच, 4 कोर, 2 गीगाबाइट मेमोरी, $ 110 गियरबेस्ट पर) के लिए बैकडोर के बिना फर्मवेयर का एक अद्यतन संस्करण उपलब्ध है। बीएसआई के अनुसार, 20 हजार तक डिवाइस जर्मन आईपी से हमलावरों के सी एंड सी-सर्वर तक पहुंचते हैं।

सामान्य तौर पर, समस्या पूरी तरह से हल नहीं होती है, और उपभोक्ताओं के लिए सिफारिश शायद यही होगी: एक संदिग्ध ब्रांड के सस्ते स्मार्टफोन खरीदने से पहले दो बार सोचें। पिछले जुलाई में, हमने मदरबोर्ड के एक लेख का हवाला दिया जिसमें चीन से आईफोन एक्स की पेनी प्रतिकृति का वर्णन किया गया था। डिवाइस ने उपयोगकर्ता की जानकारी को दाएं और बाएं भेजा। इस तरह के शिल्प आमतौर पर चीन के बाहर नहीं आते हैं, लेकिन कुछ "अंतर्राष्ट्रीय" उपकरण बेहतर नहीं हैं। जब हम गोपनीयता के मुद्दों और सभी बाजार सहभागियों द्वारा उपयोगकर्ता डेटा एकत्र करने के अभ्यास पर चर्चा कर रहे हैं, तो दुनिया भर में हजारों लोग एकमुश्त साइबर अपराधियों के शिकार हो रहे हैं।

डिस्क्लेमर: इस डाइजेस्ट में व्यक्त की गई राय हमेशा कास्परस्की लैब की आधिकारिक स्थिति से मेल नहीं खा सकती है। प्रिय संपादकों आमतौर पर स्वस्थ संदेह के साथ किसी भी राय का इलाज करने की सलाह देते हैं।