Miljoenen toestellen kwetsbaar voor Chrome-lek
Tijdens de PacSec-conferentie die deze maand in Japan werd gehouden, toonde de Chinese onderzoeker Guang Gong hoe hij de controle over een volledig geüpdatet Android-toestel kon overnemen. Hij slaagde hier in door een lek in JavaScript v8 via de Chrome-browser te misbruiken en demonstreerde het probleem op een Google Project Fi Nexus 6-toestel met Android 6.0 Marshmallow.
Geslaagde demonstratie
Dragos Ruiu, één van de PacSec-leden, was het onfortuinlijke slachtoffer tijdens de conferentie en deelde zijn bewondering voor Gong via Google+. “Guang Gong nam de controle over mijn toestel over door de Chrome-browser naar de webserver te laten gaan die hij had opgezet. Vanaf het moment dat de telefoon op de website kwam, werd het lek in JavaScript v8 gebruikt om een willekeurige applicatie te installeren. Hiermee demonstreerde hij dat hij volledige controle over mijn toestel had, zonder dat enige gebruikersinteractie nodig was,” legt Ruiu uit.
Tijdens de demonstratie van Gong werd een BMX-spel geïnstalleerd, maar in theorie kan dit vervangen worden door eender welke third-partyapp. Dergelijke apps zien er op het eerste zicht normaal uit en worden vaak door hackers gebruikt om hun illegale praktijken te maskeren. Op deze manier kunnen ze een toestel overnemen, data stelen of je activiteiten monitoren, zonder dat je doorhebt dat er iets aan de hand is.
[related_article id=”173646″]Open lek
Wat het lek nog kritieker maakt, is dat Gong er in één keer misbruik van kon maken. Hij hoefde geen reeks van zwaktes in de beveiliging uit te buiten, waardoor miljoenen toestellen met Javascript momenteel gevaar lopen. “We testten de aanval ook offline op enkele andere telefoons en het ziet er naar uit dat het ook op verscheidene andere doelwitten werkt,” voegt Ruiu hier aan toe.
Gong liet het lek voor het eerst aan Google weten in augustus, maar een manier om het gat te dichten is voorlopig nog niet gevonden. Wel werkt Google momenteel aan een manier om het probleem op te lossen. “Gefeliciteerd aan Guang Gong en bedankt om te helpen bij het veiliger en sterker maken van het Android- en Chrome-ecosysteem,” liet een woordvoerder van Google aan ZDNet.com weten.
Tijdens de PacSec-conferentie die deze maand in Japan werd gehouden, toonde de Chinese onderzoeker Guang Gong hoe hij de controle over een volledig geüpdatet Android-toestel kon overnemen. Hij slaagde hier in door een lek in JavaScript v8 via de Chrome-browser te misbruiken en demonstreerde het probleem op een Google Project Fi Nexus 6-toestel met Android 6.0 Marshmallow.
Geslaagde demonstratie
Dragos Ruiu, één van de PacSec-leden, was het onfortuinlijke slachtoffer tijdens de conferentie en deelde zijn bewondering voor Gong via Google+. “Guang Gong nam de controle over mijn toestel over door de Chrome-browser naar de webserver te laten gaan die hij had opgezet. Vanaf het moment dat de telefoon op de website kwam, werd het lek in JavaScript v8 gebruikt om een willekeurige applicatie te installeren. Hiermee demonstreerde hij dat hij volledige controle over mijn toestel had, zonder dat enige gebruikersinteractie nodig was,” legt Ruiu uit.
Tijdens de demonstratie van Gong werd een BMX-spel geïnstalleerd, maar in theorie kan dit vervangen worden door eender welke third-partyapp. Dergelijke apps zien er op het eerste zicht normaal uit en worden vaak door hackers gebruikt om hun illegale praktijken te maskeren. Op deze manier kunnen ze een toestel overnemen, data stelen of je activiteiten monitoren, zonder dat je doorhebt dat er iets aan de hand is.
[related_article id=”173646″]Open lek
Wat het lek nog kritieker maakt, is dat Gong er in één keer misbruik van kon maken. Hij hoefde geen reeks van zwaktes in de beveiliging uit te buiten, waardoor miljoenen toestellen met Javascript momenteel gevaar lopen. “We testten de aanval ook offline op enkele andere telefoons en het ziet er naar uit dat het ook op verscheidene andere doelwitten werkt,” voegt Ruiu hier aan toe.
Gong liet het lek voor het eerst aan Google weten in augustus, maar een manier om het gat te dichten is voorlopig nog niet gevonden. Wel werkt Google momenteel aan een manier om het probleem op te lossen. “Gefeliciteerd aan Guang Gong en bedankt om te helpen bij het veiliger en sterker maken van het Android- en Chrome-ecosysteem,” liet een woordvoerder van Google aan ZDNet.com weten.
