GhostMap açığı Android telefonları çökertiyor

GhostMap açığı, Android telefonları yalnızca bir uygulama kurulduğunda kullanılamaz hale getirebiliyor. Bitdefender araştırmacılarının bulduğu açık, özel hazırlanmış bir APK ile sistemi sonsuz çökme döngüsüne sokuyor. Üstelik bunun için uygulamanın açılması bile gerekmiyor.

Normalde zararlı uygulamalar önce izin ister, ardından kod çalıştırarak cihaza saldırır. GhostMap ise farklı işliyor. Çünkü tetikleyici olarak yalnızca kurulum yetiyor.

GhostMap açığı nasıl ortaya çıktı?

İnceleme Ağustos ayında başladı. Araştırmacılar, gerçek dünyada bulunan ve bankacılıkla ilişkili zararlı bir APK'yı analiz ediyordu. Bu dosya, Bitdefender'ın testlerinde emülatörleri çökertti. Ancak sorun zorunlu olarak uygulamadaki zararlı yazılımdan gelmiyordu. Asıl kusur Android'in kendisindeydi.

Çökmelerin nedeni, Android'in ZIP girişlerindeki sıkıştırma yöntemlerini işleme biçimi. İşletim sistemi, APK içindeki dosyaların nasıl sıkıştırıldığına dair bilgiyi yanlış yorumluyor. Bu yanlış yorum, sistem çökmesini tetiklemek için kullanılabiliyor. Bunun üzerine araştırmacılar özel bir APK hazırladı. Böylece açığın cihazları nasıl çökertebileceğini gösterdiler.

Telefon neden açılmıyor?

Hazırlanan APK kurulunca system_server süreci çöküyor. Bu süreç, Android'in çekirdek parçalarından biri. Android süreci yeniden başlatıyor, fakat servis açılışta kurulu uygulamaları yeniden tarıyor. Aynı dosyayı tekrar okuyunca yine çöküyor.

Bitdefender'ın raporuna göre system_server birkaç saniyede bir ölüp yeniden başlıyor. Telefon açılışı hiçbir zaman tamamlayamıyor. Ayrıca ekranda hangi uygulamanın sorumlu olduğunu gösteren bir ipucu da yok. Hiçbir uygulama açılmamış olsa bile döngü sürüyor.

Kurtulmanın iki yolu var: cihazı fabrika ayarlarına döndürmek ya da zararlı dosyayı ADB ile elle silmek. ADB, telefonu bilgisayardan komutla yönetmeye yarayan bir Android aracı. Yine de bu yöntemlerin hiçbiri kolay olmayabilir.

Google'ın yanıtı ve olası riskler

Şimdilik GhostMap açığının gerçek saldırılarda kullanıldığına dair bir tespit yok. Bitdefender sorunu Google'a Android & Devices Vulnerability Reward Program üzerinden iki kez bildirdi. İlk rapor “Won't Fix (Not Reproducible)” durumuyla, yani düzeltilmeyecek ve yeniden üretilemedi notuyla kapatıldı.

Çalışan bir kanıt ve yeniden üretme adımlarıyla gönderilen ikinci rapora Google'ın yanıtı ise farklı oldu. Aktarılana göre şirket, sorunun “güvenlik güncellemesi kapsamı dışında” kaldığını söyledi. Google bulguyu ayrıca “ilgili ekibe inceleme için” iletmiş.

Rapor kamuya açıldığı için GhostMap açığı artık yalnızca güvenlik araştırmacılarının bildiği bir bulgu değil. Saldırganlar bu bilgiyle açığı yeniden üretmeye çalışabilir. Bu nedenle kullanıcılar için risk artabilir. Öte yandan açığın herkese açık olması, Google üzerindeki baskıyı da büyütebilir.

Şu an için yayımlanmış bir düzeltme yok. Telefon çökme döngüsüne girerse çözüm fabrika ayarlarına dönmek ya da zararlı dosyayı ADB ile silmek.