Schädliche Dateien haben wieder den Weg in den Android Market gefunden. Eine Reihe von Anwendungen wurde entführt, mit schädlichem Code rückentwickelt und zusammen mit den legitimen Anwendungen veröffentlicht.
Zwei Dinge müssen im Vorfeld erwähnt werden: Google hat die Apps bereits vom Markt genommen, und diesmal waren nur Benutzer in China betroffen, von denen sie auch stammen. Wenn Sie diese Geschichte lesen, sind Sie wahrscheinlich in Sicherheit und waren nie gefährdet. Dies ist jedoch immer noch ein großes Problem. Eine Reihe von bösen Jungs (das ist meine Safe-for-Work-Version) konnten Apps von einem legitimen Entwickler dekompilieren, einen Code eingeben, der SMS-Nachrichten an einen chinesischen Abonnementdienst sendet, und dann einige wirklich geniale Schritte unternehmen, um sie zu behalten alles vor dem Benutzer versteckt. Das wird passieren, denn alles, was elektronisch und populär genug ist, ist ein Ziel. Der betreffende Teil ist, dass diese ihren Weg in den Android Market finden.
Gestatten Sie mir, nach der Pause ein paar hundert Worte darüber mit Ihnen zu sprechen.
Quelle: AegisLabs über Sophos; Vielen Dank, Tony Bag o 'Donuts!
Ich bin zerrissen. Als Benutzer und auf persönlicher Ebene sage ich, lassen Sie alles offen und zwingen Sie die Benutzer, fleißig zu sein und nur Apps zu installieren, denen sie vertrauen, unabhängig davon, woher sie kommen. Erfahren Sie, welche Berechtigungen vorhanden sind und warum eine App diese möglicherweise benötigt oder nicht (z. B. Adobe Reader). Aber als Blogger und (hoffentlich) respektierte Android-Autorität bin ich unseren Lesern gegenüber dafür verantwortlich, das Beste für sie zu wollen. Das seid ihr. Viele von Ihnen sind selbst anerkannte Android-Behörden und haben kein Problem damit, zu erkennen, was sicher ist und was nicht. Viele andere tun dies nicht und sind auf Android Central und andere Internet-Ressourcen angewiesen, um gute Ratschläge für mehr Sicherheit zu erhalten. Das lässt mich in einer Art Essiggurke zurück.
Als ich die verschiedenen Sicherheitspublikationen zu diesem Thema las, stieß ich bei Sophos auf eine wirklich interessante Idee von Vanja Svajcer. Seine Idee ist einfach und leicht umzusetzen - wir brauchen zwei Sätze von Signaturschlüsseln. Anwendungen, die beispielsweise SMS-Nachrichten senden oder mit Ihrer Kontaktliste herumspielen möchten oder müssen, müssen einen Satz verifizierter Schlüssel verwenden, die mit einem legitimen Entwicklerkonto verknüpft sind, das von Google genehmigt wurde. Lassen Sie die Furz-Apps und -Themen weiterhin benutzergenerierte Schlüssel verwenden - zwingen Sie Hobby-Entwickler nicht, die Leute von Mountain View dazu zu zwingen, irgendetwas zu tun, das zu einem potenziellen Sicherheitsproblem führen könnte. In dem Moment, in dem eine App auf Ihr Telefonbuch zugreifen oder Ihr GMail-Authentifizierungstoken verwenden möchte, überprüfen Sie den Signaturschlüssel und verifizieren Sie ihn. Schützen Sie die Benutzer, und sie bleiben glücklich. Zufriedene Nutzer kaufen mehr Apps und mehr Android-Produkte. Raketenwissenschaft ist es nicht. Vanja traf mit diesem einen Nagel direkt auf den Kopf - was sagst du, Google?
Wie auch immer, das ist vorbei und erledigt. Wenn Sie neugierig sind, finden Sie hier eine Liste der betroffenen Anwendungen. Beachten Sie, dass sie alle umgehend vom Markt entfernt wurden und nur Benutzer mit einem chinesischen Gebietsschema und einer chinesischen Telefonnummer betrafen.
- ich buche
- iCartoon
- Liebe Baby
- 3D Cube Horror schrecklich
- Seeball
- iCalendar
- ich passe
- Pause schütteln
- ShakeBanger
- iMine
- iGuide
Wir werden die Dinge im Auge behalten und Sie das nächste Mal informieren, wenn es passiert. Und es wird ein nächstes Mal geben - der Kompromiss für die Möglichkeit, umwerfende Apps wie Handcent zu haben, sind Apps, die dieselben Funktionen und Offenheit für Dinge haben, die wir lieber hätten, als dass sie es nicht getan hätten. An dieser Stelle muss ich zwei Dinge vorschlagen:
- Verwenden Sie einen "Virenscanner". Ja, ich weiß, dass es für Android keine Viren gibt, aber die Namen bleiben irgendwie hängen. Bei allen bisherigen Sicherheitsproblemen musste der Endbenutzer sie installieren. Sie werden nicht mit irgendetwas infiziert, wenn Sie Ihr Telefon benutzen. Es gibt mehrere auf dem Markt zur Auswahl. Sie funktionieren alle, überprüfen Sie also die Eigenschaften der einzelnen Komponenten und treffen Sie eine Auswahl. Dann seien Sie froh, dass sie die Drecksarbeit für uns erledigen.
- Installieren Sie keine Apps, die Sie nicht sein sollten. Ja, es ist verlockend und wir haben es mit der Sideload Wonder Machine ziemlich einfach gemacht (aber das war nicht meine Absicht!). Sicherheitsblogger blasen nicht nur Rauch, wenn sie Sie davor warnen. Wenn Sie in der Lage sind, schlagen Sie eines dieser Piraten-App-Foren an und laden Sie eine Handvoll herunter. Führen Sie dann ein Reverse Engineering durch und vergleichen Sie sie mit den offiziellen Versionen. Wenn Sie nicht in der Lage sind, vertrauen Sie uns einfach. Etwa die Hälfte von ihnen weist gravierende Unterschiede im Code auf. Halte dich an Apps, denen du vertraust. Oder bleiben Sie auf dem Markt - wenn Sie mit einem Trojaner nicht weiterkommen, werden Sie von Google repariert. Die Entwickler verdienen nicht nur das wenige Geld, das sie für ihre harte Arbeit verlangen, Sie werden am Ende auch sicherer sein.
