Ứng dụng Airdroid dễ bị tấn công 'người trung gian' [cập nhật: đã sửa và cải tiến]

Cập nhật, ngày 9 tháng 12: Betty Chen, CMO của AirDroid đã tiếp cận với Android Central với bản mới nhất về công việc của nhóm để khắc phục lỗ hổng. Xem phản hồi dưới đây:

Chúng tôi vừa hoàn thành việc giới thiệu AirDroid (Mobile 4.0.0.3; Mac / Win 3.3.5.3) trên Google Play Store, hiện đã có sẵn cho tất cả người dùng. Trong bản cập nhật này, chúng tôi đã cải thiện cơ chế mã hóa theo kế hoạch và khắc phục sự cố liên quan đến mối quan tâm gần đây về bảo mật của AirDroid.

Vấn đề được khắc phục trong bản cập nhật.

Cùng với các cải tiến bảo mật khác, chúng tôi đã nâng cấp các kênh liên lạc lên https và cải tiến phương thức mã hóa.

Do tính chất đa nền tảng của AirDroid, đôi khi chúng tôi phải thiết kế một giải pháp tùy chỉnh và tăng cường bảo mật về mọi mặt. Chúng tôi đã giới thiệu hệ thống mã hóa tái cấu trúc vào AirDroid4.0 và AirDroid 4.0.0.1 để đảm bảo khả năng tương thích hoạt động tốt trên các nền tảng vào cuối tháng 11. Sau khi đánh giá cẩn thận, chúng tôi đã bắt đầu tung ra bản cập nhật này một phần vào đầu tháng này cho các khách hàng để đảm bảo truyền thông thông suốt được thực hiện tốt. Bây giờ chúng tôi cuối cùng cũng có thể phát hành bản cập nhật này đầy đủ để khắc phục sự cố được nêu ra cũng như đảm bảo người dùng của chúng tôi được bảo vệ tốt hơn.

Nghiên cứu của công ty bảo mật Zimperium đã chỉ ra rằng ứng dụng quản lý từ xa nổi tiếng AirDroid dễ bị tấn công bởi cái gọi là các cuộc tấn công "man-n-the-middle", khiến điện thoại của người dùng mở để đánh cắp dữ liệu hoặc tệ nhất là thỏa hiệp thiết bị thông qua một vụ tấn công cập nhật tập tin.

Theo Zimperium, kẻ tấn công trên cùng mạng với nạn nhân dự định có thể chặn dữ liệu xác thực và mạo danh người dùng, cho phép dữ liệu cá nhân - như SMS, cuộc gọi, thông báo hoặc chi tiết liên hệ - bị lộ.

Nghiêm trọng nhất, cơ chế mà ứng dụng được cập nhật cũng có thể bị tấn công theo cách tương tự, khiến người dùng AirDroid bị toàn bộ thiết bị của họ bị xâm phạm bởi một tệp APK độc hại. Công ty bảo mật có bằng chứng đầy đủ về khái niệm trên trang web của mình, cùng với các chi tiết về cách công bố các lỗ hổng cho nhà phát triển Sand Studio, bắt đầu từ tháng 5 năm 2016.

Zimperium cho biết AirDroid 4.0.0 và 4.0.1 được phát hành gần đây vẫn dễ bị tổn thương với cùng một lỗ hổng. Chúng tôi đã liên hệ với Sand Studio để nhận xét và chúng tôi sẽ cập nhật bài đăng này với bất kỳ phản hồi nào. Trong khi đó, nếu bạn là người dùng AirDroid có ý thức bảo mật, bạn có thể muốn nghĩ về việc gỡ cài đặt cho đến khi có bản sửa lỗi.

Bạn có thể tải xuống phiên bản mới nhất của AirDroid cho thiết bị Android của mình tại đây. Có thể tải xuống phiên bản mới nhất của ứng dụng máy tính để bàn từ trang web của AirDroid. Nếu bạn là người dùng thường xuyên của AirDroid, chắc chắn bạn sẽ muốn tải xuống các bản cập nhật quan trọng này càng sớm càng tốt.