Додаток Airdroid вразливий до атак "людина в середині" [оновлення: виправлено та покращено]

Оновлення, 9 грудня: Бетті Чен, CMO AirDroid, звернулася до Android Central із останніми відомостями про роботу команди над усуненням уразливості. Дивіться відповідь нижче:

Ми щойно завершили поетапну розробку AirDroid (Mobile 4.0.0.3; Mac / Win 3.3.5.3) в Google Play Store, вона тепер доступна для всіх користувачів. У цьому оновлення ми вдосконалили наш механізм шифрування, як було заплановано, і вирішили проблему щодо недавнього занепокоєння щодо безпеки AirDroid.

Проблема виправлена ​​в оновленнях.

Поряд з іншими поліпшеннями безпеки ми оновили канали зв'язку до https та вдосконалили метод шифрування.

Через кросплатформенний характер AirDroid нам знадобилося колись розробити індивідуальне рішення та підвищити рівень безпеки в усіх аспектах. Ми ввели систему кодування для реструктуризації в AirDroid4.0 та AirDroid 4.0.0.1, щоб переконатися, що сумісність працює добре на платформах наприкінці листопада. Після ретельної оцінки ми почали частково впроваджувати це оновлення на початку цього місяця для всіх клієнтів, щоб переконатися, що безперебійна комунікація працює добре. Тепер ми можемо остаточно випустити це оновлення, щоб виправити порушену проблему, а також забезпечити кращий захист наших користувачів.

Дослідження охоронної фірми Zimperium показало, що популярний додаток для віддаленого управління AirDroid вразливий до так званих атак "людина-середина", залишаючи телефони користувачів відкритими для крадіжок даних або, в гіршому випадку, для компрометації пристрою через викрадення оновлення файлу.

За словами Zimperium, зловмисник у тій самій мережі, що і передбачувана жертва, може перехоплювати дані аутентифікації та видавати себе за користувача, дозволяючи виставляти особисті дані - такі як SMS, дзвінки, повідомлення чи контактні дані.

Найсерйозніше, механізм, за допомогою якого програма оновлюється, також може бути викрадений таким же чином, піддаючи користувачам AirDroid, щоб весь їх пристрій було порушено шкідливим файлом APK. Фірма безпеки має повний доказ концепції на своєму сайті, а також детальну інформацію про те, як вона розкрила вразливості для розробника Sand Studio, починаючи з травня 2016 року.

Zimperium каже, що нещодавно випущені AirDroid 4.0.0 і 4.0.1 залишаються вразливими до тієї ж вразливості. Ми звернулися до Sand Studio для коментаря, і ми оновлюємо цю публікацію будь-якою відповіддю. Тим часом, якщо ви є користувачем AirDroid, який не відповідає безпеці, ви можете подумати про видалення, доки виправлення не з’явиться.

Ви можете завантажити останню версію AirDroid для свого пристрою Android тут. Останню версію настільного додатка можна завантажити з веб-сайту AirDroid. Якщо ви часто користуєтеся AirDroid, ви обов'язково захочете якнайшвидше завантажити ці важливі оновлення.