اكتشف الفريق الأمني في شركة Bluebox ثغرة أمنية في نظام تشغيل الأندرويد تتيح للقراصنة تعديل شيفرة الـ APK بدون الحاجة لإختراق التوقيع الأمني المشفر للتطبيق.
وتعني هذه الثغرة أنه يمكن الوصول إلى التطبيقات المثبتة على أجهزة الأندرويد وتعديل شيفرتها لتحويلها إلى برامج خبيثة وبالتالي إختراق جهاز المستخدم. وتتم هذه العملية بدون الحاجة لإختراق التوقيع المشفر للتطبيق والذي يرسل لشركة قوقل إنذار بأن التطبيق غير قانوني ويحوي برمجيات خبيثة.
و هذه الثغرة يمكن تطبيقها على نظام الأندرويد بدءاً من نسخته 1.6 المعروفة بإسم كعكة الدونت، ويمكن لأي جهاز تم إصداره خلال السنوات الأربعة الماضية أن تتأثر بها ما يعني عدد الأجهزة المحتمل إختراقها بهذه الثغرة يصل إلى 900 مليون جهاز.
ويعتمد عدد الأجهزة التي يمكن إختراقها على نوع التطبيقات التي يمكن للقراصنة الوصول إليها وتعديل شيفرتها.
والخطورة تكمن فيما لو استطاع القراصنة الوصول إلى تطبيقات لها صلاحيات واسعة على نظام التشغيل و بيانات المستخدم، فيمكن لهذه التطبيقات قراءة رسائل البريد الإلكتروني و الرسائل القصيرة والمستندات و بيانات الحسابات و كلمات المرور للخدمات، أو يمكنها إجراء المكالمات و إرسال الرسائل بدون علم المستخدم أو تشغيل الكاميرا و تسجيل الأصوات، بمعنى أن هذه الصلاحيات تكون أحياناً ضرورية لعمل التطبيق، وبالتالي لو تمكن القراصنة من إختراق هذا التطبيق والعبث بشفرته بحيث أصبح يعمل لغرض خبيث غير الذي انشئ من أجله.
وتتضمن كافة تطبيقات أندرويد على توقيعات مشفرة حيث يستخدمها نظام التشغيل للتأكد من صلاحية التطبيق و شرعيته و أنه غير معدل. والثغرة تقوم بتغيير شيفرة التطبيق البرمجية بدون التأثير على التوقيع المشفر للتطبيق، وهذا التعديل يكون بحيث يسمح لمبرمج التطبيقات الخبيثة من خداع نظام الأندرويد ليعتقد أن التطبيق لم يتم تعديله لأنه لم يغير في التوقيع المشفر.
وفي الصورة الموضحة أعلاه يظهر أن شركة Bluebox الأمنية تمكنت من تعديل تطبيق أساسي في نظام الأندرويد على مستوى يمكنها الوصول إلى كل الصلاحيات في الجهاز. حيث قامت بتعديل معلومات التطبيق على مستوى النظام و أضافت اسم Bluebox للتأكيد على أنها تمكنت من تعديل معلومات الـ Baseband Version، وهذه القيمة عادة ما يتم التحكم بها من قبل نظام التشغيل.