Yüzüme vurma:Milyonlarca Android telefon, özellikle Pixel’ler, bilgisayar korsanlarının uzaktan kontrol sağlamasına veya kullanıcıları gözetlemesine izin verebilecek gizli bir uygulama ile gönderildi. 2017 ve sonrasındaki Pixel telefonların sahipleri, Google’dan gelecek bir güvenlik güncellemesini beklemelidir.
iVerify’daki siber güvenlik araştırmacıları, hacker’lara telefona arka kapı açabilecek bir güvenlik açığına sahip “Showcase.apk” adlı gizli bir uygulama keşfettiler. İronik olarak, şirketin uç nokta algılama ve yanıt tarayıcısı, istihbarat teşkilatlarına hizmet sağlayan bir veri analiz şirketi olan Palantir Technologies’de bir Android telefonu işaretledikten sonra hatalı uygulamayı buldular. Palantir o kadar endişeliydi ki, liderlik Google sorunu çözene kadar çalışanlara Android telefon vermeyi bırakmaya karar verdi.
Showcase.apk, tipik kullanıcıların bildiği bir uygulama değildir. Eylül 2017’ye kadar uzanan Pixel sürümleri de dahil olmak üzere bazı Android örneklerinin donanım yazılımlarında gömülüdür. Uzaktan erişim araçları ve ebeveyn denetimleri sağlayan bir şirket olan Smith Micro, Verizon gibi mağazalarda satış temsilcilerinin telefon özelliklerini göstermesine yardımcı olmak için uygulamayı oluşturdu. Smith Micro uygulamayı iyi niyetle tasarlamış olsa da, uzaktan etkinleştirilebilen ve istismar edilebilen bir güvenlik açığı içeriyor.
Sorunun temel nedeni, uygulamanın HTTPS yerine güvenli olmayan bir HTTP bağlantısı üzerinden bağlanmaya çalışması ve bu sayede bilgisayar korsanlarının trafiği engelleyebileceği aracı saldırılara kapı açmasıdır. Daha da kötüsü, kullanıcılar uygulamayı kaldıramaz çünkü bu, aygıt yazılımı görüntüsünün bir parçasıdır.
iVerify, “Showcase.apk’ya ihtiyaç duyan cihaz sayısının çok az olduğu bir ortamda, Google’ın neden her Pixel cihazına üçüncü taraf bir uygulama yüklediği bilinmiyor” diyor.
Güvenlik şirketi, bu güvenlik açığını Mayıs ayında Google’a bildirdiğini ancak teknoloji devinin bir düzeltme sunma konusunda ayak dirediğini söyledi. Google, Çarşamba günü sonunda The Washington Post’a, şüpheli uygulamayı bir yazılım güncellemesiyle Pixel telefonlarından kaldıracaklarını söyledi. Ayrıca, uygulamayı diğer Android cihazlarda paketleyen ortaklara da bildireceklerini söylediler.
Google, The Verge’e bilgisayar korsanlarının bu açığı gerçek hayatta kötüye kullandığına dair bir kanıt olmadığını söylese de, imalar hala oldukça korkutucu. Ancak, Google yakında bir yama yayınlayacağı için kullanıcılar telefonlarını güncel tutmalı. Yeni piyasaya sürülen Pixel 9 serisinin hala bu uygulamayla birlikte gelip gelmediği belli değil, ancak Google’ın bu sorunun farkında olduğunu düşünürsek, durumu yayınlanmadan önce ele almış olabilir.