Как делать правильное дело, но неправильным способом
Сейчас по всем официальным каналам: от участковых и махаллей до ГУВД — идет массовая рассылка с настойчивым призывом установить на смартфоны приложение APK Q'oriqchi.
Идея на самом деле благая и я ее приветствую: защитить доверчивых граждан от скачивания мошеннических приложений и воровства денег с карт. Но то, как это реализовано технически и организационно — это классический пример того, как хорошие намерения могут привести к большим рискам в будущем.
Давайте разберем, что именно меня настораживает:
1. Разработчик — частное лицо
Приложение, которое агрессивно пушат, не принадлежит ни МВД, ни Центру кибербезопасности, ни другому госорган. Разработчик — Islom Baxtiyorov. Юридического лица или компании за проектом [судя по описанию] нет. При этом у приложения уже более 1 миллиона загрузок. То есть предлагаемая безопасность опирается на частника-одиночку. Это потенциальная единая точка отказа на гигантскую аудиторию.
2. Права уровня банковского трояна
Приложение требует доступ к Accessibility Service (специальные возможности) без какого-либо фильтра по приложениям, а также запрашивает полный доступ ко всем файлам устройства, списку установленных программ и интернету.
Немного про права:
MANAGE_EXTERNAL_STORAGE — дает приложению полный доступ на чтение, изменение и удаление абсолютно всех файлов во внутренней памяти устройства, включая документы, сканы, фотографии, архивы и загрузки.
Приложение с таким разрешением может без вашего ведома прочитать личные документы, найти скан паспорта в папке "Загрузки" или выгрузить архив ваших фото на сторонний сервер.
QUERY_ALL_PACKAGES — Позволяет приложению видеть полный список всех без исключения программ, установленных на вашем смартфоне.
Именно так работают банковские трояны: они смотрят список установленных программ, понимают, клиентом каких банков или криптобирж вы являетесь, и ждут момента, чтобы перехватить ввод или подсунуть фишинговое окно поверх реального приложения.
Да, в текущей версии кода это не используется. Но если завтра почту разработчика взломают, или кто то другой, менее честный получит к нему доступ — одно обновление может дать злоумышленникам полный контроль над миллионом телефонов. Никаких дополнительных разрешений система уже не спросит — их уже дали.
3. Скрытая передача данных
В карточке приложения в Google Play написано: "данные не передаются третьим лицам". В реальности хэши установленных APK-файлов отправляются на сервера VirusTotal. Более того, в коде приложения уже заложен функционал для выгрузки самих файлов целиком, он просто пока не активирован, но его можно включить одним небольшим апдейтом.
В итоге, получается странная ситуация, чтобы защитить граждан от потенциальных троянов, госорганы массово стимулируют их устанавливать приложение с большими правами, которые как раз и бывают у банковских вирусов.
Если МВД хочет защищать граждан, это должен быть государственный продукт, в идеале с открытым кодом, аудитом безопасности и понятной юридической ответственностью. Начать можно хотя бы с того, чтобы приложение было от официального органа.
P.S. У Google есть встроенные механизмы защиты — Google Play Protect и запрет установки неизвестных приложений. В целом они решают поставленную задачу точно так же как и это приложение.
P.P.S. Раз уже решил поумничать, то хотелось бы порекомендовать разработчику(-ам): ограничьте Accessibility, исправьте информацию в Data safety и удалите неиспользуемый код загрузки. Ну и в конце концов переходите на легальную схему работы с VirusTotal — с таким объемом загрузок — упретесь в лимиты.
Ну и главное послесловие, целью данной публикации не является обесценить чьи то труды, просто хочется чтобы правильные вещи делали правильно.
Ну и как обычно, все это сугубо личное ИМХО.
#мысливслух #безопасность
@KurbanoffNet
By: via Kurbanoff.net