นักวิจัยด้านความปลอดภัยพบบั๊กในระบบปฏิบัติการแอนดรอยด์ที่อนุญาตให้โทรจันสวมหน้ากากกลายเป็น verified apps โดยมัลแวร์จะไปซ่อนตัวอยู่ในโปรแกรมโดยที่ผู้ใช้ไม่รู้ตัว
นักวิจัยจาก Bluebox Labs บอกว่าบั๊กนี้มีมาตั้งแต่ Android 1.6 Donut และคาดว่าถ้าโดนจู่โจมด้วยวิธีนี้มีอุปกรณ์ถึง “99 %” จะติดโทรจัน
ปกติแอพในเครื่องจะทำการ verified ด้วย cryptographic signatures หากไม่ตรงก็จะไม่สามารอัพเดทแอพเป็นเวอร์ชั่นใหม่ได้ แต่ Bluebox ค้นพบวิธีดัดแปลงไฟล์ APK ของแอพโดยไม่ส่งผลกระทบต่อ cryptographic signatures ผลก็คือแฮคเกอร์สามารถติดตั้งตัวอัพเดทแอพที่มีมัลแวร์หรือโค้ดที่ผิดปกติลงในเครื่องได้ด้วยการส่ง software package ที่มีการดัดแปลงมา
แต่การส่งมัลแวร์ด้วยวิธีนี้ยังเป็นแค่ทฤษฎีอยู่ ซึ่งการส่งผ่าน Play Store ยังไม่สามารถทำได้เพราะกูเกิลได้ทำการอัพเดทป้องกันเรียบร้อยแล้ว แต่ถ้าผู้ใช้ลงแอพจากช่องทางอื่นอย่าง third party app stores, พิชชิ่งอีเมล หรือเว็บที่มีมัลแวร์ก็มีความเสี่ยงส฿งที่จะถูกจู่โจมด้วยช่องโหว่นี้ นั่นจะทำให้แฮคเกอร์เข้าถึงระบบได้สมบูรณ์เพื่อขโมยข้อมูล, ทำใช้มือถือของคุณเสียหรืออื่นๆ
ทาง Bluebox ได้แจ้งเรื่องนี้ให้กับทางกูเกิลตั้งแต่เดือนกุมภาพันธ์แล้ว แต่ทั้งนี้ก็ขึ้นอยู่กับผู้ผลิตเครื่องว่าจะปล่อย patch ให้ผู้ใช้อัพเดทกันเมื่อไหร่ ตอนนี้อุปกรณ์ที่ได้รับการแก้ปัญหาแล้วก็มี GALAXY S4 ส่วน NEXUS กำลังดำเนินการอยู่
VIA theverge
