צ'ק פוינט: בעיות אבטחה ב-900 מיליון מכשירי אנדרואיד

חוקרים של צ'ק פוינט הישראלית, חשפו אמש (ב') ארבע חולשות אבטחה בתוכנה שהותקנה בשבבים שמייצרת קוואלקום עבור סמארטפוני אנדרואיד. החולשות מאפשרות להאקרים להשיג שליטה מלאה במכשיר. בצ'ק פוינט כינו את החולשה בשם QuadRooter, וחשפו אותה בכנס Def Con 24 שהתקיים בלאס וגאס על ידי חוקר האבטחה הבכיר של החברה, אדם דוננפלד.

קוואלקום היא מיצרניות השבבים המובילות בעולם, החברה שולטת בכ-65% משוק שבבי התקשורת מבוססי LTE . על פי הערכות, השבבים של קוואלקום מותקנים ביותר מ-900 מיליון מכשירי אנדרואיד - סמארטפונים וטאבלטים - המיוצרים על ידי חברות כמו סמסונג, מוטורולה, LG ו-HTC.

חוקרי צ'ק פוינט מצאו כי החולשות מצויות במנהלי ההתקן (drivers) שעל גבי השבבים. האקרים עלולים לנצל את חולשות QuadRooter כדי לחדור למערכת האנדרואיד ולהשיג שליטה מלאה במכשיר (root access). הרשאת root במכשיר מאפשרת לתוקף להוריד למכשיר אפליקציות זדוניות ובאמצעותן לבצע פעולות שונות, כמו מחיקה והוספה של אפליקציות, מעקב GPS, וגישה להתקני חומרה שעל גבי המכשיר - דוגמת מסך המגע, המצלמה והמיקרופון.

בצ'ק פוינט הסבירו שדיווחו כבר באפריל שעבר על החולשה לקוואלקום. אולם על פי דיווח של ZDnet, עדכון אבטחה לא יהיה זמין ללקוחות לפני עדכון האבטחה של ספטמבר שגוגל צפויה להפיץ קודם כל לבעלי מכשירי הנקסוס שלה כמובן. גם אז הוא צפוי לחלחל לשאר בעלי המכשירים בהתאם לרצונן הטוב של היצרניות והספקיות.

מבדיקה שביצענו ב"כלכליסט", נמצא שמכשיר נקסוס 6P מתוצרת וואווי שהריץ אנדרואיד 7 סבל מחולשה אחת. מכשיר סוני מסדרת X החדשה הכיל את כל שלוש הפרצות באנדרואיד 6 ומכשיר סמסונג גלקסי S4 לא הכיל שום פרצה, כנראה בזכות זה ששבב התקשורת שלו אינו מתוצרת קוואלקום. כל בעל מכשיר אנדרואיד שמעוניין לבדוק את החולשה על מכשיר יכול לבצע זאת בעזרת כלי בדיקה חינמי שפותח על ידי צ'ק פוינט.

צ'ק פוינט גם העבירה רשימה של מכשירים שנבדקו ושהכילו את החולשה, בין מכשירי האנדרואיד (סמארטפונים וטאבלטים) המכילים את השבבים של קוואלקום מצויים:

• Google Nexus 5X, 6, 6P

• Samsung Galaxy S7, S7 Edge

• LG G4, G5, V10

• HTC One M9, HTC 10

• OnePlus 3, 2, One

• Sony Xperia Z Ultra

• New Moto X by Motorola

• BlackBerry Priv

• Blackphone 1, 2

רשימה זו אינה כוללת את כל המכשירים שנמצאו כסובלים מהחולשה וכמו שציינו קודם, מצאנו אותה במכשירים נוספים. עוד מכשיר שעשוי לסבול ממנה הוא מכשירה האחרון של בלקברי ה-DTEK50 שהושק כמכשיר האנדרואיד המאובטח ביותר.

על מנת לצמצם את רמת הפגיעות ולמזער את היכולת של תוקפים לנצל חולשות כלשהן במכשירי הסלולר, בצ'ק פוינט ממליצים למשתמשי אנדרואיד:

• להוריד את עדכוני הגרסה האחרונים, ברגע שהם זמינים

• להימנע מהורדת אפליקציות שלא דרך החנות הרשמית (Google Play)

• לקרוא היטב את ההרשאות שאפליקציות מבקשות לקבל ולשים לב האם ישנן בקשות שנראות חריגות או לא הכרחיות

• להשתמש ברשתות WiFi מוכרות ובטוחות