Saugumo tyrinėtojai ką tik atskleidė didžiulę tiekimo grandinės ataką, paveikiančią milijonus „Android“ įrenginių, o tai kelia didelį susirūpinimą. Ataka yra nukreipta į įvairius išmaniuosius įrenginius, įskaitant nebrangius išmaniuosius telefonus, išmaniuosius laikrodžius, išmaniuosius televizorius ir kt. Panašu, kad problemą sukuria didžiulė konkurencija tarp originalios įrangos gamintojų (OEM).
Tyrimo metu mokslininkai pabrėžė šią problemą Singapūre surengtoje konferencijoje. Šios problemos pagrindinė priežastis buvo arši konkurencija tarp originalios įrangos gamintojų (OĮG).
Gamintojai nėra kaltininkai
Įdomu tai, kad išmaniųjų telefonų gamintojai ne visus komponentus gamina patys. Vienas esminis komponentas, programinė įranga, dažnai perduodama trečiųjų šalių tiekėjams. Tačiau dėl mažėjančių mobiliųjų telefonų programinės įrangos kainų šiems tiekėjams buvo sunku užsidirbti pinigų iš savo produktų.
Todėl mokslininkai išsiaiškino, kad kai kurie programinės aparatinės įrangos vaizdai buvo su papildomais nepageidaujamais elementais, vadinamais „tyliaisiais įskiepiais“. Jie nustatė „dešimtis“ programinės įrangos vaizdų, kuriuose yra grėsminga programinė įranga arba kenkėjiška programinė įranga, ir nustatė apie 80 skirtingų papildinių. Kai kurie iš šių papildinių buvo didesnio „verslo modelio“ dalis ir buvo parduodami „Dark Web“ forumuose bei reklamuojami pagrindinėse socialinės žiniasklaidos platformose ir tinklaraščiuose.
Kenkėjiški papildiniai gali būti atakos priežastis
Šios tiekimo grandinės atakos metu aptikti papildiniai turi įvairių galimybių, kurios kelia didelę grėsmę paveiktiems įrenginiams. Jie turi galimybę rinkti neskelbtiną informaciją, pvz., asmens duomenis, ir gauti neteisėtą prieigą prie SMS žinučių. Be to, šie kenkėjiški įskiepiai gali valdyti socialinės žiniasklaidos paskyras, išnaudoti įrenginius skelbimų ir paspaudimų sukčiavimui, manipuliuoti interneto srautu ir dar daugiau. Žalingos veiklos, kurią įgalina šie papildiniai, spektras yra platus.
Vienas ypač susijęs su įskiepiu, kurį pabrėžė tyrėjai, suteikia pirkėjui visišką įrenginio kontrolę iki penkių minučių. Tai reiškia, kad užpuolikai gali panaudoti pažeistą įrenginį kaip „išėjimo mazgą“, kad galėtų vykdyti savo grėsmingą veiklą.
Jų surinkti duomenys rodo, kad ši tiekimo grandinės ataka paveikė beveik devynis milijonus įrenginių visame pasaulyje. Dauguma paveiktų įrenginių yra sutelkti Pietryčių Azijoje ir Rytų Europoje. Nors mokslininkai aiškiai neįvardijo kenkėjiškų programų atakos kaltininkų, Kinija buvo minima kelis kartus, todėl leidinys padarė savo išvadas.