ثغرة في متصفح الأندرويد لسرقة حسابات الفيسبوك!

تم إكتشاف نقطة ضعف أمنية في متصفح الويب الرئيسي الموجود في أنظمة أندرويد ذات النسخ الأقدم من النسخة 4.4 الموجودة على عدد كبير من أجهزة الأندرويد، والتي تسمح للمهاجمين بتجنب ما يسمى سياسة المصدر الأوحد Same Origin Policy SOP.

سياسة المصدر الأوحد هي مفهوم هام في حماية تطبيقات الويب، حيث تسمح هذه السياسة للشيفرات النصية أن تعمل فقط على صفحات الموقع الواحد دون قيود معينة، ولكنها لا تستطيع التعامل مع الصفحات من المواقع الأخرى، وتأتي هذه السياسة لحماية تصفح المستخدمين.

قام الباحث في مجال الأمن Rafay Baloch بالكشف عن هذا الضعف الموجود في بداية كانون الثاني 2014 ، حيث وجد أن متصفح منصة عمل أندرويد مفتوحة المصدر Android Open Source Platform - الموجودة على نظام الأندرويد 4.2.1 - ضعيفة في مواجهة الأخطاء البرمجية التي تعرف بـالـ bugs والتي تساعد في تجنب سياسة المصدر الأوحد و تسمح لموقع بسرقة بيانات من موقع آخر، كما تتيح هذه الثغرة سرقة الـ cookies التي تخزن فيها كلمات المرور.

قام الباحثون في مجال الأمن في مؤسسة Trend Micro بالتعاون مع شركة فيسبوك بالكشف عن العديد من الحالات التي تعرّض فيها مستخدمي فيسبوك على الهواتف المحمولة لهجمات الكترونية تحاول استغلال هذا الضعف بشكل خاص في المتصفح.

تم تصميم سياسة المصدر الأوحد من أجل منع الصفحات من تحميل شيفرة برمجية ما ليست جزء من مصدرها، بالتالي تأكيد أنه من غير الممكن لطرف ثالث وضع شيفرة برمجية معينة دون مصادقة مالك الموقع.

لكن لسوء الحظ، إن سياسة المصدر الأوحد ضحية لضعف البرمجة عبر المواقع أو ما يعرف بـ Cross-Site Scripting وذلك في النسخ القديمة من الأجهزة الذكية التي تعمل بنظام أندرويد والتي تساعد المهاجمين على تزويد الضحية بملف JavaScript خبيث مخزن في حساب معين على أحد مواقع التخزين السحابي، حيث يتم تزويد الضحية برابط معيّن بواسطة صفحة فيسبوك خاصة يقوده الى الموقع الخبيث.

إن شيفرة JavaScript تسمح للمخترق بتنفيذ مهمات متعددة على حساب الضحية وذلك من أجل امتلاك حساب قانوني، ووفق الباحثين فإنه بإمكان المخترق فعل أي شيء بحساب الضحية مثل إضافة أصدقاء، والإعجاب ، ومتابعة صفحات فيسبوك

المصادقة على بعض التطبيقات ضمن فيسبوك التي تخوّل الوصول الى قائمة الأصدقاء، و جمع بيانات احصائية عن المستخدم واستعمالها بشكل قانوني.

لاحظ الباحثون في مجال الأمن أن هذه الخدع الالكترونية تعتمد على تطبيق خاص بـ BlackBerry من أجل سرقة رموز الدخول وبالتالي اختراق حسابات فيسبوك، حيث أن استخدام هكذا تطبيق من شركة موثوقة يمنح المهاجمين القدرة على عدم اكتشافهم.

أبلغت شركة Trend micro شركة BlackBerry عن إكتشافها، وتعمل الآن الشركتان بالتعاون مع شركة فيسبوك على حل هذه المشكلة ومنع الهجوم من التوسع الى كل مستخدمي الأندرويد.

كل أجهزة الأندرويد بما فيها تلك التي تحمل نسخة 4.4 - المعروفة بـ KitKat - معرّضة لهذا الهجوم، ويجب التنويه أن بعض المتصفحات المبنية على أساس متصفح الأندرويد الرئيسي مصابة أيضاً بهذه الثغرة ومنها متصفح سامسونج الافتراضي، ومتصفحين أخرين موجودين على سوق غوغل.

من المتوقع أن تكون الثغرة مؤثرة في حوالي 100 مليون جهاز ذكي، وقد تأثرت بعض الدول أكثر من غيرها.

في أيلول الماضي، تم اقتراح رقعة Patch من شركة غوغل لحل هذه المشكلة، ولكن الملايين من الأجهزة ما تزال معرضة لهذا الهجوم لأن هذه التحديثات لا تصل لجميع المستخدمين إما بسبب مصنّعي الأجهزة أو لأن الأجهزة نفسها لا تدعم هذه التحديثات. يستهدف هذا الهجوم للأسف المتصفح الأساسي في أجهزة أندرويد والذي لا يمكن إزالته لأنه جزء من نظام التشغيل، بالتالي لحماية أنفسنا نكتفي بتعطيله من خلال الدخول الى الضبط Settings، و من ثم التطبيقات Applications، ومن ثم اختيار (الكل) All، والبحث عن المتصفح وإلغاء تفعيله.

المصادر هنا و هنا