Säkerhetsföretaget Bluebox har upptäckt ett mycket allvarligt säkerhetshål i Android som har existerat i fyra år. Säkerhetshålet gör det möjligt att modifiera en legitim app och lägga in skadlig kod utan att det upptäcks.
Även om Google Play inte kan drabbas av det här säkerhetshålet finns det andra app-butiker runt om i världen med sämre säkerhetsfunktioner. Speciellt i Asien och Östeuropa är det populärt med alternativa app-butiker.
Detaljer kring säkerhetshålet kommer att presenteras av Bluebox under hackarkonferensen Black Hat i USA senare denna månad.
Sårbarheten bygger på hur Android signerar appar digitalt för att säkerställa att de inte har manipulerats. Genom att utnyttja sårbarheten går det att lägga in skadlig kod i en installationsfil utan att det påverkar den digitala signaturen för en viss app.
I praktiken betyder det att en legitim app som exempelvis Facebooks officiella app kan manipuleras och sedan spridas på de olika app-butikerna som finns på nätet.
Enligt Bluebox har Google Play numera speciella säkerhetsfunktioner som gör det omöjligt för någon att ladda upp en app som utger sig för att vara en annan, exempelvis en falsk app för Facebook. Google uppger att ingen av de appar som finns på Google Play har drabbats av säkerhetshålet.
När appen väl är installerad kan en hackare göra i stort sett vad som helst med användarens telefon, från att läsa all information till att ständigt övervaka rörelsemönster, sms och internettrafik.
Säkerhetshålet existerar i Android 1.6 och senare versioner, vilket betyder 99 procent av alla Android-enheter på marknaden. Problemet är att många tillverkare av äldre Android-enheter inte längre underhåller sina telefoner och kommer därför inte att erbjuda några säkerhetsuppdateringar för sina modeller.
I nuläget är det bara Samsung som släppt en säkerhetsuppdatering som täpper till problemet för Galaxy S4. Google har ännu inte släppt några uppdateringar för företagets Nexus-modeller, men arbetar just nu med det enligt Bluebox.
IDG News