[2vanya2]

Метод обходу антивірусного захисту Bouncer в Google Play

На конференції Summercon цього тижня Чарлі Міллер і Джон Оберхайде намір провести демонстрацію обходу антивірусного захисту Bouncer, яка використовується для сканування всіх нових додатків в каталозі Google Play (Android Market). Хакери завчасно виклали в інтернет маленький скрінкасти своєї роботи.
Антивірусний сканер Bouncer з'явився кілька місяців тому, після чергової хвилі вірусів, знайдених в програмах Google Play. Сканер виконує роль першого рубежу захисту, перевіряючи всі пакети. Apk на відомі вірусні сигнатури.

Однак, Міллер і Оберхайде показали, як відносно легко обійти цей захист. Вони зареєстрували кілька акаунтів Google і опублікували парочку шкідливих додатків в Google Play. Потім перевірили, з яких IP-адрес йдуть запити на C & C-сервер, так що змогли легко обчислити IP-адреси Google, які використовуються в емуляторі Bouncer. Тобто можна елементарно заблокувати ці адреси (або призначити для них інша поведінка програми), так що Bouncer не дізнається про шкідливої ​​функціональності програми. Є й інші способи обчислити, що додаток виповнюється в емуляторі Bouncer.

Робота Міллера і Оберхайде вселяє повагу, тому що спільноти до цих пір практично нічого невідомо про механізм роботи Bouncer, ця інформація публічно не розголошувалася компанією Google. У той же час знайдені способи обходу захисту мають довготривалий ефект, тобто компанія не може легко закрити уразливості. Звичайно, вони можуть змінити IP-адреси, але суть від цього не змінюється.

Головне, що зловмисники можу легко реєструвати анонімні акаунти в Google Play і спокійно тестувати свої програми проти Bouncer.