Isang malubhang kahinaan sa isang popular na third-party na Android software development kit (SDK) ang nag-iwan sa sampu-sampung milyong cryptocurrency wallet na bulnerable sa pagnanakaw ng data, ayon sa isang bagong inilabas na ulat ng Microsoft Defender Security Research Team.
Ang kapintasan ay nagbigay-daan sa mga mapanirang aplikasyon na lusutan ang core security sandbox ng Android.
Ang kahinaan ay nakaapekto sa malawak na hanay ng mga aplikasyon. Ang ekosistema ng cryptocurrency at digital wallet ang pinakanaapektuhan ng pagkakabunyag dahil sa mataas na halaga ng nakaimbak na data.
Kinilala ng Microsoft ang mahigit 30 milyong instalasyon ng mga naapektuhang third-party na aplikasyon ng crypto wallet. Lumampas sa 50 milyong instalasyon ang kabuuang pagkakabunyag.
Kung napagsamantalahan, maaaring nailantad ng kahinaan ang Personally Identifiable Information (PII), pribadong kredensyal ng user, at sensitibong pinansyal na data na nakaimbak nang malalim sa mga pribadong direktoryo ng naapektuhang app.
Sa kabutihang-palad, nabanggit ng Microsoft na kasalukuyan ay walang ebidensya na nagpapahiwatig na ang kahinaang ito ay aktibong pinagsamantalahan ng mga threat actor sa totoong mundo.
Ang EngageLab SDK ay isang tool na ginagamit ng mga developer upang pamahalaan ang mga push notification at real-time na in-app messaging. Ang butas sa seguridad ay natukoy sa isang partikular na component (MTCommonActivity) na awtomatikong idinagdag sa background code ng isang aplikasyon pagkatapos ng proseso ng pagbuo.
Dahil malawakang nai-export ang component na ito, naging naa-access ito sa ibang mga aplikasyong naka-install sa parehong Android device.
Ang isang malisyosong app na naka-install sa parehong device ay maaaring gumawa ng manipulahing mensahe (isang "intent") at ipadala ito sa mahinang crypto wallet app.
Ipoproseso ng wallet app ang intent na ito gamit ang sarili nitong pinagkakatiwalaang identity at mga pahintulot.
Napakain nito ang wallet na bigyan ang malisyosong app ng persistent read at write access sa mga pribadong direktoryo ng data nito.
Mabilis na kumilos sa buong ekosistema ng Android upang maibsan ang banta.
