- Автор темы
- #1
В начале этого месяца Epic Games выпустила бету шутера Fortnite на мобильной платформе Android. Однако, чтобы не делиться прибылью с Google, разработчики выпустили собственный фирменный инсталлятор для установки игры. Но, как оказалось, там была серьёзная уязвимость.
Ресурс XDA Developers сообщает, что разработчики уже обновили программу, убрав брешь, позволявшую проводить атаку под названием Man-in-the-disk и внедрять вредоносное приложение. Суть в том, что программа Epic Games подменяла APK-файл с игрой сразу после завершения загрузки и проверки отпечатка пальца. Это позволяло обойти защиту Google Play, но также могло стать причиной проблем. Фактически можно подменить файл с игрой на вирус или майнер, и это сработало бы.
Но серьёзнее всего проблема затронула пользователей смартфонов и планшетов Samsung. Дело в том, что на устройствах этой компании Fortnite Installer автоматически устанавливает APK через собственные API магазина Galaxy Apps, где проверка производится только по названию пакета. Иначе говоря, можно внедрить посторонний пакет с таким названием. Наконец, программе предоставляются все разрешения на время установки, как если бы это была игра Fortnite. А значит, все данные на устройстве могут быть скомпрометированы.
На текущий момент проблема подтверждена на Galaxy S8+, Galaxy Note 9 и Galaxy Tab S4. Однако разработчики оперативно выкатили обновление, и теперь, как утверждается, брешь более неактуальна.
Ресурс XDA Developers сообщает, что разработчики уже обновили программу, убрав брешь, позволявшую проводить атаку под названием Man-in-the-disk и внедрять вредоносное приложение. Суть в том, что программа Epic Games подменяла APK-файл с игрой сразу после завершения загрузки и проверки отпечатка пальца. Это позволяло обойти защиту Google Play, но также могло стать причиной проблем. Фактически можно подменить файл с игрой на вирус или майнер, и это сработало бы.
Но серьёзнее всего проблема затронула пользователей смартфонов и планшетов Samsung. Дело в том, что на устройствах этой компании Fortnite Installer автоматически устанавливает APK через собственные API магазина Galaxy Apps, где проверка производится только по названию пакета. Иначе говоря, можно внедрить посторонний пакет с таким названием. Наконец, программе предоставляются все разрешения на время установки, как если бы это была игра Fortnite. А значит, все данные на устройстве могут быть скомпрометированы.
На текущий момент проблема подтверждена на Galaxy S8+, Galaxy Note 9 и Galaxy Tab S4. Однако разработчики оперативно выкатили обновление, и теперь, как утверждается, брешь более неактуальна.