Googlen Android-käyttöjärjestelmän turvallisuus herättää aina vain kysymyksiä. Vakavalta vaikuttavia aukkoja paljastuu tuon tuosta ja myöskään Google Play -sovelluskauppa ei ole ainakaan jonkin verran haitallisista sovelluksista puhdas.
Ars Technica kertoo Androidista löytyneestä kahdesta julki tuodusta tietoturva-aukosta, jotka Google jo korjasi syyskuun Android-tietoturvapäivityksissään, mutta jotka näidenkin päivitysten hitaan jakelun vuoksi ovat yhä auki suuressa määrässä Android-laitteita.
Lisäksi Google Play -sovelluskaupasta ladattiin jopa 2,5 miljoonaa kertaa erinäisiä haitallisia sovelluksia.
Paikatuista aukoista toisen Googlen edustaja tyrmäsi vähämerkitykselliseksi ja lähinnä vain tutkimustarkoituksessa kiintoisaksi. Se toimi vain osassa Nexus-laitteita eikä sitä olisi voitu hyödyntää todellisiin hyökkäyksiin ilman merkittäviä muutoksia sekä jatkotutkimusta. Aukon löytänyt Googlen Project Zero -tiimin tutkija Mark Brand kuitenkin kuvasi sitä ”erittäin vakavaksi virheeksi”.
Toinen aukoista on muistuttaa aiempaa pelottavaa Stagefright-haavoittuvuutta. Tämän aukon hyödyntäminen onnistui vihamielisesti koodatulla JPEG-kuvalla ja Gmailin tai Google Talkin kautta lähetettynä hyökkäyskoodi on piilotettu kuvatiedoston EXIF-tietoihin. Näin laite saastuu hyökkäyksestä suoraan ilman edes kuvan erillistä avaamista.
Viime viikolla myös tietoturvayhtiö Check Point kertoi, että se löysi Google Playsta haitallisia sovelluksia, joita oli ladattu jopa 2,5 miljoonaa kertaa. Yksi sovellusryppäistä, DressCode-niminen, oli suunniteltu luomaan väärennettyjä mainosklikkauksia. DressCode löydettiin osana yli 40 Google Play -sovelluksesta. Lisäksi CallJam-niminen haitake sovelluksissa sisälsi myös koodin, joka ohjasi puheluja maksullisiin puhelinnumeroihin. CallJam löytyi muun muassa Supercellin hittipelin nimeä jäljittelevästä Gems Chest for Clash Royale -sovelluksesta.
