آسیب‌پذیری جدید اندروید تمامی بخش‌های دستگاه را تحت تاثیر خود قرار می‌دهد

ظاهرا بعد از Stagefright و مشکلات فراوان آن، این بار یکی دیگر از مشکلات امنیتی سیستم عامل اندروید توسط محققان کشف شده که با استفاده از قابلیت مالتی‌تسکینگ سیستم عامل، امکان دسترسی به تمام قسمت‌های گوشی را برای هکرها فراهم می‌کند.

بعد از مشکلاتی که Stagefright به وجود آورد و بسیاری از کمپانی‌های تولیدکننده مجبور شدند خیلی زود بروزرسانی‌های امنیتی خود را منتشر کنند، این بار نوبت به کشف یک آسیب‌پذیری جدید در سیستم عامل اندروید رسیده که نشان می‌دهد هکرها توانسته‌اند از طریق قابلیت چندوظیفه‌ای به تمامی بخش‌های دستگاه شما دسترسی پیدا کنند. چوانگانگ رِن، یکی از محققان امنیتی دانشگاه Penn State نسبت به این مشکل هشدار داده است که این حملات مخرب می‌تواند روی همه‌ی نسخه‌های اخیر اندروید و تمامی اپلیکیشن‌ها (از جمله اپلیکیشن‌های سیستمی) که روی سیستم نصب شده‌اند تاثیرگذار باشد.

محققان دانشگاه پن‌استیت که این آسیب‌پذیری اندروید را کشف کرده‌اند در مقاله‌ای که هفته‌ی گذشته در جریان کنفرانس USENIX Security 15 واشنگتن‌دی‌سی قرائت شد این گونه توضیح می‌دهند:

قابلیت مالتی‌تسکینگ اندروید امکانات خوبی را برای ارتقای تجربه‌ی کاربری در اختیار شما می‌گذارد و باعث می‌شود توسعه‌دهندگان از انعطاف‌پذیری این ویژگی برای شخصی‌سازی بهتر اپلیکیشن‌های استفاده کنند. با این وجود مشکلات امنیتی قابلیت چندوظیفه ای اندروید هنوز به صورت جدی مورد بررسی و ارزیابی قرار نگرفته است.

با توجه به مطالعات سیستماتیک وظایف پیچیده‌‌ی در حال اجرا، دریافتیم که نواقص طراحی در ویژگی مالتی‌تسکینگ اندروید باعث می‌شود تمامی نسخه‌های جدید اندروید در معرض حملات هکرها و سرقت اطلاعات قرار بگیرد. ما اسناد و مدارکی از به کارگیری نمونه‌های حملات هکری داریم که رابط کاربری را فریب داده و مانع اجرای سرویس‌های تدافعی و مانیتور حملات توسط کاربر می‌شود. مهاهجمان می‌توانند اطلاعات لاگین شما را سرقت کرده، از فعالیت‌ها شما جاسوسی کنند و حتی به اطلاعات بانکی شما دسترسی داشته و اخاذی کنند.

ما توانستیم بیش از 6.8 میلیون اپلیکیشن را از فروشگاه‌های مختلف اندرویدی جمع‌آوری کرده و بررسی کنیم. تحلیل‌های ما نشان می‌دهد خطر حملات هکری روی وظایف (وظیفه‌ربایی) در حال اجرا رفته‌رفته بیشتر می‌شود و از آنجایی که بسیاری از اپلیکیشن‌ها در حال حاضر به طراحی قابلیت مالتی‌تسکینگ فعلی متکی هستند، مقابله در برابر حملات هکری روی وظایف سخت خواهد بود.

این تیم تحقیقاتی درباره‌ی این آسیب‌پذیری به تیم اندروید هشدار داده است. نه تیم اندروید و نه گوگل - یا حتی آلفابت به عنوان شرکت هلدینگ جدید گوگل – درباره‌ی یافته‌های این مقاله نظری نداده‌اند.