Брешь в инсталляторе Fortnite для Android позволила скрытно запускать вредоносные приложения

Специалисты по безопасности из Google обнаружили уязвимость в установочном пакете игры Fortnite от Epic Games для Android-смартфонов. Приложение было подвержено атаке под названием Man-in-the-Disk (MitD) и позволяло загружать и запускать любые приложения с неограниченным числом привилегий. Компания-разработчик игры уже выпустила версию 2.1.0 с исправлениями проблемы безопасности.

Предыстория

Исследователи корпорации опубликовали информацию о проблеме в баг-трекере Google 15 августа 2018 года. Они заинтересовались программой после того, как издатель решил не выпускать игру в магазине приложений Google, тем самым решив не отдавать компании 30 % от выручки за внутриигровые покупки.

После того, как об этом стало известно, профильные издания вроде Android Central высказали опасения о безопасности и целесообразности такой стратегии Epic. Компания продвигает инсталлятор игры через собственный сайт, а для его запуска необходимо поставить галку в графе «Установка из ненадежных источников» настроек устройства.

Подробнее об уязвимости Fortnite

Используя уязвимость MitD в приложении-установщике Fortnite, злоумышленник мог загрузить на устройство любую программу, в том числе вредоносную. Это произошло из-за особенности управления внешней памятью в Android — она используется всеми приложениями совместно. Поскольку мобильная версия Fortnite не содержит саму игру, а загружает дополнительные файлы из хранилища Epic Games, оно оставляет внешнюю память открытой для злоумышленников.

Любое приложение с разрешением WRITE_EXTERNAL_STORAGE может заменить APK сразу после завершения загрузки и верификации. Это легко сделать с помощью FileObserver. Установщик Fortnite продолжит установку замененного APK.

Также исследователь добавил, что уязвимость заставляет инсталлятор пропускать все запросы поддельного приложения на разрешения без ведома пользователя. Он опубликовал запись экрана с proof-of-concept бреши в безопасности:

Fortnite app hijack by Google researchers

vimeo.com

Реакция Epic Games

Опубликовав информацию в системе отслеживания ошибок, исследователи корпорации уведомили разработчиков Epic о необходимости выпуска патча. Специалисты сделали отчет о проблеме публичным 25 августа 2018 года, через неделю после появления исправления в версии 2.1.0.

В этот же день СЕО Epic Games Тим Суини (Tim Sweeney) заявил в своем твиттере, что Google совершила «грязный» PR-ход, ответив запретом на просьбу инженеров Epic отложить публикацию уязвимости на 90 суток до полного закрытия бреши на всех устройствах:

Позже Тим рассказал, что сотрудники корпорации связались с ним лично и заявили, что просканировали все Android-устройства с установленной программой и убедились в малом количестве неисправленных версий:

Другая игра в жанре Battle Royale — PlayerUnknown’s Battlegrounds — также становилась целью злоумышленников. В апреле 2018 года исследователи нашли вирус-вымогатель, который дешифровал файлы жертвы только после игры в PUBG.