Android 단말의 앱 업데이트 설계 결함 중국의 사용자에게 영향인가. 개인 정보 수집의 우려도

트렌드 마이크로는 2014 년 4 월, Android 단말의 설계 결함을 확인했습니다. 그러면 가짜 응용 프로그램은 정규 앱의 업데이트를 공중 납치하고 저장된 정보를 수집 할 수 있습니다. 이 문제는 중국의 모바일 사용자의 일반적인 사용에 기인합니다.그것은 SD 카드 등 외장 저장 장치를 사용하여 다운로드 한 「Android application package (APK) "파일을 저장하는 것입니다.

중국 사용자는 일반적으로 Google Play 또는 타사 앱 스토어를 통하지 않고 직접 응용 프로그램을 업데이트합니다. 이러한 업데이트는 앱의 업데이트 기능을 이용하여 실행되고 앱 관련 기업과 개발자는 사용자에 APK 파일 다운로드 및 설치하라는 것으로, 앱의 업데이트 버전을 배포합니다. 그러나이 문제는 일련의 업데이트 프로세스가 아닌 APK 파일이 저장되는 위치에 원인이 있습니다.

Android 단말의 대부분은 내부 저장 장치가 대용량 외장형 저장 장치를 선택할 수 있습니다. APK 파일의 크기를 생각하면, SD 카드는 다운로드 한 APK 파일을 임시 저장하는 데 최적의 위치로되어 있습니다.

당사의 조사에서 다운로드 한 APK 파일을 저장할 SD 카드와 같은 외부 저장 장치를 사용하는 경우 응용 프로그램에 잘못된 조작을 베풀어 쉬운 것을 발견했습니다. 예를 들어, 잘못된 응용 프로그램이 정식 앱의 업데이트를 하이재킹 공격자가 관리 할 수​​있는 다른 버전을 실행하는 것이 가능합니다. 표적이 된 어플이 온라인 은행 앱 등의 중요한 정보를 취급하는 것이었다 경우 특히 위험이 높아집니다.

■ 편리함의 대가로 위협 보안
응용 프로그램을 직접 업데이트하는 것은 편리한 것 같습니다. 업데이트가 제공되면 사용자는 즉시 잡아 있기 때문입니다. 그러나 이번 사례에서 알 수 있듯이, 보안면에서는 편리함의 대가를 치르고도 될 수 없습니다. 악의적 인 사용자가 위협을 확산시키기 위해 보안 검사의 달콤함을 이용할 수 있습니다.

어플 스토어는있는 수준까지 보호를 보장합니다. 예를 들어, Google Play에서 상점에서 사용할 수있는 앱의 업데이트 배포를 관리하고 있습니다. Google은 업데이트가 정품 여부를 " Certificate check '를 통해 확인합니다. 그러나 보안 측면에서 모든 앱 스토어가 마찬가지다하지는 않습니다. 타사 앱 스토어에서는 공식 앱 스토어에 비하면 보안 검사가 그다지 엄격하지 않을 수 있습니다. 실제로 사이버 범죄자가 악성 앱이나 고위험 앱 을 전달하기 위해 타사 앱 스토어를 이용하고있는 것은 자주 있습니다.

사용자는 가능하면 공식 앱 스토어에서 앱을 다운로드하도록하십시오. 공식 앱 스토어를 이용할 수 없으며 타사 응용 프로그램을 다운로드 할 때는 충분한주의를 기울여야합니다. 다운로드 및 설치하기 전에 해당 앱을 충분히 알아보세요. 권한 에 따라 애플리케이션이 필요 이상의 액세스를 사용자에게 요구할 수 있습니다. 모바일 기기에 내장 된 보안 기능 을 사용하거나 보안 소프트웨어를 설치하면 이러한 위협에 대한 보안을 크게 향상시킬 수 있습니다.

본건과 관련하여 당사는 이미 Google에보고하고 있습니다.

참고 기사 :

" Android App Update Flaw Affects China-Based Users " 
by Harry Ding (Mobile Threat Response Engineer)