Cuối cùng, ở đây chúng ta có một lỗ hổng nhắm vào các nhà phát triển và kỹ sư đảo ngược Android, thay vì người dùng ứng dụng.
Các nhà nghiên cứu bảo mật đã phát hiện ra một lỗ hổng dễ khai thác trong các công cụ dành cho nhà phát triển ứng dụng Android, cả có thể tải xuống và dựa trên đám mây, có thể cho phép kẻ tấn công đánh cắp tệp và thực thi mã độc trên các hệ thống dễ bị tấn công từ xa.
Vấn đề được phát hiện bởi các nhà nghiên cứu bảo mật tại Nhóm nghiên cứu Check Point, họ cũng đã phát hành một cuộc tấn công bằng chứng về khái niệm (PoC), mà họ gọi là phân tích cú pháp Droid.
Lỗ hổng nằm trong thư viện phân tích cú pháp XML phổ biến “DocumentBuilderFactory”, được sử dụng bởi các Môi trường phát triển tích hợp (IDE) phổ biến nhất của Android như Android Studio của Google, IntelliJ IDEA và Eclipse của JetBrains cũng như các công cụ kỹ thuật đảo ngược chính cho các ứng dụng Android như APKTool , Cuckoo-Droid và hơn thế nữa.
Lỗ hổng ParseDroid, về mặt kỹ thuật được gọi là lỗ hổng Thực thể bên ngoài XML (XXE), được kích hoạt khi một công cụ kỹ thuật đảo ngược hoặc phát triển Android có lỗ hổng giải mã một ứng dụng và cố phân tích tệp “AndroidManifest.xml” được tạo thủ công độc hại bên trong nó.
Nói cách khác, tất cả những gì kẻ tấn công cần để kích hoạt lỗ hổng là lừa các nhà phát triển và kỹ sư đảo ngược tải tệp APK được tạo độc hại.
Các nhà nghiên cứu cho biết: “Chỉ cần tải tệp ‘AndroidManifest.xml’ độc hại như một phần của dự án Android, các IDE bắt đầu tạo ra bất kỳ tệp nào được cấu hình bởi kẻ tấn công.
Trình diễn: Thực thể bên ngoài XML (XXE) để thực thi mã từ xa
Bên cạnh đó, lỗ hổng XXE cũng có thể được sử dụng để đưa các tệp tùy ý vào bất kỳ đâu trên máy tính được nhắm mục tiêu để thực thi mã từ xa đầy đủ (RCE), khiến cuộc tấn công trở nên rộng khắp và đa dạng.
Hơn nữa, kẻ tấn công không yêu cầu nhắm mục tiêu trực tiếp vào nạn nhân của họ, như các nhà nghiên cứu đề xuất “một kịch bản tấn công khác có thể được sử dụng ngoài thực tế để tấn công một loạt lớn các nhà phát triển Android bằng cách đưa AAR độc hại (Thư viện lưu trữ Android) chứa tải trọng XXE của chúng tôi vào kho lưu trữ.”
Học cách bảo vệ phạm vi nhận dạng – Các chiến lược đã được chứng minh
Cải thiện bảo mật doanh nghiệp của bạn với hội thảo trực tuyến về an ninh mạng do chuyên gia hướng dẫn sắp tới của chúng tôi: Khám phá các chiến lược Vành đai nhận dạng!
Đừng bỏ lỡ – Tiết kiệm chỗ ngồi của bạn!
Vì mục đích giáo dục và trình diễn, các nhà nghiên cứu cũng đã tạo ra một công cụ giải mã APK trực tuyến có thể trích xuất tệp độc hại từ APK (trong trường hợp này, họ đã sử dụng trình bao web PHP), cho phép kẻ tấn công thực thi các lệnh hệ thống trên máy chủ ứng dụng web, như hiển thị trong video.
“Tất nhiên, cách chúng tôi chọn để chứng minh lỗ hổng này chỉ là một trong nhiều phương pháp tấn công có thể được sử dụng để đạt được RCE đầy đủ,” các nhà nghiên cứu của Check Point viết. “Thật vậy, phương pháp Path Traversal cho phép chúng tôi sao chép bất kỳ tệp nào vào bất kỳ vị trí nào trên hệ thống tệp, khiến cuộc tấn công trở nên rộng khắp và đa dạng.”
Các nhà nghiên cứu của Check Point, Eran Vaknin, Gal Elbaz, Alon Boxiner và Oded Vanunu đã phát hiện ra vấn đề này vào tháng 5 năm 2017 và báo cáo chúng cho tất cả các nhà phát triển công cụ và IDE lớn, bao gồm chủ sở hữu Google, JetBrains, Eclipse và APKTool.
Hầu hết các nhà phát triển, bao gồm chủ sở hữu Google, JetBrains và APKTool, đã khắc phục sự cố và phát hành các phiên bản vá lỗi.
Vì tất cả các phương pháp tấn công được các nhà nghiên cứu chứng minh là đa nền tảng, các nhà phát triển và kỹ sư đảo ngược được khuyến nghị cập nhật các công cụ của họ, nếu họ chưa cập nhật.
