Xiaomi er måske en ukendt smartphone herhjemme, men det kinesiske firma er verdens fjerde største smartphone-producent og Kinas største. Derfor er det ikke uden betydning, når sikkerhedsforskere offentliggør, at over 150 millioner Xiaomi enheder kommer med en pre-installeret antivirus-applikation, som indtil en nylig opdatering kunne bruges som bagdør af hackere. Det skriver The Hacker News
Ifølge sikkerhedsforskere fra CheckPoint ligger problemet ved applikationen Guard Provider. Den er udviklet af Xiaomi, kommer pre-installeret og indeholder tre forskellige anti-virus systemer, således at brugere selv kan vælge mellem Avast, AVL og Tencent.
Da Guard Provider er designet til at disse tredjeparts programmer kan køre via samme applikation, har man også måttet anvende forskellige Software Development Kits, som alle deler samme kontekst og tilladelser – problematisk, da et sikkerhedshul i et SDK ikke kan isoleres og gør hele pakken sårbar.
»Små fejl i hver individuel SDK inden for samme applikation kan ofte være et selvstændigt problem. Men når flere SDK'er er implementeret inden for samme applikation er det sandsynligt, at endnu flere kritiske problemer ikke er langt væk,«
Ifølge CheckPoint viste det sig, at Guard Provider før sin seneste patch opdaterede antivirus signaturer via en usikker HTTP forbindelse. Det muliggjorde man-in-the-middle-angreb, hvis enheden hentede opdateringerne på et åbent wifi. Dermed kunne angriberen sende skadelige opdateringer til offerets smartphone hvis de delte et åbent wifi, på eksempelvis restaurenter, kafeer, eller indkøbscentre.
»Angriberen kunne få adgang til telefonejerens billeder, videoer og anden følsom data samt injicere malware,« oplyser CheckPoint
...men det er dyrt at lave god journalistik. Derfor beder vi dig overveje at tegne abonnement på Version2.
Digitaliseringen buldrer derudaf, og it-folkene tegner fremtidens Danmark. Derfor er det vigtigere end nogensinde med et kvalificeret bud på, hvordan it bedst kan være med til at udvikle det danske samfund og erhvervsliv.
Og der har aldrig været mere akut brug for en kritisk vagthund, der råber op, når der tages forkerte it-beslutninger.
Den rolle har Version2 indtaget siden 2006 - og det bliver vi ved med.
