Getty Images aracılığıyla Miguel Candela/SOPA Images/LightRocket tarafından Fotoğraf İllüstrasyonu
Google’ın uygulama mağazasını denetleme konusunda sorun yaşamasına şaşmamalı. Pazartesi gününden bu yana araştırmacılar, şirketin resmi pazar yerlerinden milyonlarca kez indirilen yüzlerce Android uygulamasının ve Chrome uzantısının, kullanıcı dosyalarını gözetleme, panoların içeriğini değiştirme ve web sayfalarına kasıtlı olarak bilinmeyen kod ekleme işlevleri içerdiğini bildirdi.
Araştırmacılar, Google’ın kötü amaçlı girişlerin hepsini olmasa da çoğunu kaldırdığını, ancak ancak bunlar bildirildikten sonra ve o zamana kadar milyonlarca cihazda ve muhtemelen yüz milyonlarca cihazda bulunduğunu söyledi. Araştırmacılar memnun değil.
çok üzücü bir yer
Uzantı geliştiricisi ve araştırmacı Wladimir Palant bir e-postada “Google’ın yaklaşımının hayranı değilim” diye yazdı. Chrome’dan önceki günlerde, Firefox tarayıcı payından daha büyük bir paya sahipken, gerçek kişiler uzantıları Mozilla pazarında kullanıma sunmadan önce inceliyordu. Google, daha sonra Firefox’un kopyaladığı otomatik bir inceleme sürecini kullanarak farklı bir yaklaşım benimsedi.
“Otomatik incelemelerde genellikle kötü amaçlı uzantılar eksik olduğundan ve Google raporlara yanıt vermede çok yavaş olduğundan (aslında, nadiren hiç tepki vermezler), bu durum kullanıcıları çok üzücü bir durumda bırakıyor.”
Araştırmacılar ve güvenlik savunucuları, Google’ın Android uygulamalarını Play pazarında kullanıma sunmadan önce inceleme sürecine uzun süredir aynı eleştiriyi yöneltiyor. Geçen hafta, hoşnutsuzluk için kesin bir neden sunuyor.
Pazartesi günü, güvenlik şirketi Dr.Web, Play’den 421 milyon kez indirildiği bildirilen ve aşağıdakiler de dahil olmak üzere bir dizi casus yazılım etkinliğine izin veren kod içeren 101 uygulama bulduğunu bildirdi:
- Belirtilen dizinlerdeki dosyaların listesini alma
- Cihazda belirli dosyaların veya dizinlerin varlığının doğrulanması
- Cihazdan geliştiriciye dosya gönderme
- Panoların içeriğini kopyalamak veya değiştirmek.
ESET araştırmacısı Lukas Stefanko, Dr.Web tarafından bildirilen uygulamaları inceledi ve bulguları doğruladı. Bir e-postada, dosya gözetlemenin çalışması için kullanıcıların önce READ_EXTERNAL_STORAGE olarak bilinen ve adından da anlaşılacağı gibi uygulamaların bir cihazda depolanan dosyaları okumasına izin veren bir izni onaylaması gerektiğini söyledi. Bu, bir kullanıcının verebileceği en hassas izinlerden biri olsa da, fotoğraf düzenleme, indirmeleri yönetme ve multimedya, tarayıcı uygulamaları veya kamera ile çalışma gibi uygulamaların sözde amaçlarının birçoğunu gerçekleştirmek için gereklidir.
Dr.Web, casus yazılım işlevlerinin, her uygulamayı oluşturmak için kullanılan bir yazılım geliştirici kiti (SDK) tarafından sağlandığını söyledi. SDK’lar, yaygın olarak gerçekleştirilen belirli görev türlerini otomatikleştirerek geliştirme sürecini kolaylaştırmaya yardımcı olur. Dr.Web, gözetlemeyi etkinleştiren SDK’yı SpinOK olarak tanımladı. Yorum için SpinOK geliştiricisiyle iletişim kurma girişimleri başarısız oldu.
Cuma günü güvenlik firması CloudSEK, SpinOK kullanan uygulamaların listesini 193’e çıkardı ve bunlardan 43’ünün Play’de kullanılabilir durumda kaldığını söyledi. Bir CloudSEK araştırmacısı bir e-postada şunları yazdı:
Android.Spy.SpinOk casus yazılımı, virüslü cihazlardan dosya toplama ve bunları kötü niyetli saldırganlara aktarma yeteneğine sahip olduğundan, Android cihazlar için oldukça endişe verici bir tehdittir. Bu yetkisiz dosya toplama, hassas ve kişisel bilgileri ifşa olma veya kötüye kullanma riskiyle karşı karşıya bırakır. Ayrıca, casus yazılımın pano içeriğini manipüle etme yeteneği, tehdidi daha da artırarak saldırganların parolalar, kredi kartı numaraları veya diğer gizli bilgiler gibi hassas verilere erişmesine olanak tanır. Bu tür eylemlerin sonuçları ciddi olabilir ve kimlik hırsızlığına, finansal dolandırıcılığa ve çeşitli gizlilik ihlallerine yol açabilir.
Hafta, Google’ın Chrome Web Mağazası’ndan uzantılar alan Chrome kullanıcıları için daha iyi geçmedi. Çarşamba günü Palant, serasearchtop’ta bulunan bir sunucuya ulaşan kasıtlı olarak gizlenmiş kod içeren 18 uzantı bildirdi.[.]com. Bir kez orada, uzantılar bir kullanıcının görüntülediği her web sayfasına gizemli JavaScript enjekte etti. Toplamda, 18 uzantı yaklaşık 55 milyon kez indirildi.
Cuma günü, güvenlik firması Avast, Palant’ın bulgularını doğruladı ve 75 milyon bildirilen indirme ile 32 uzantı belirledi, ancak Avast indirme sayılarının yapay olarak şişirilmiş olabileceğini söyledi.
Palant veya Avast kodu görüntüleyemediği için enjekte edilen JavaScript’in tam olarak ne yaptığı bilinmiyor. Her ikisi de amacın arama sonuçlarını ele geçirmek ve kullanıcıları reklamlarla spamlamak olduğundan şüphelense de, uzantıların yalnızca casus yazılım olmanın çok ötesine geçtiğini ve bunun yerine kötü amaçlı yazılım oluşturduğunu söylüyorlar.
“Her web sayfasına isteğe bağlı JavaScript kodu enjekte edebilmek, çok büyük bir kötüye kullanım potansiyeline sahiptir” diye açıkladı. “Arama sayfalarını yönlendirmek, bu gücün kötüye kullanıldığı *onaylanmış* tek yoldur.”
