Hơn 100 triệu người dùng Android gặp nguy vì lỗ hổng Skype

Một lỗ hổng trên Skype cho phép kẻ tấn công vượt qua màn hình khóa trên thiết bị Android bằng phương pháp vô cùng đơn giản.

“Pulser” - Quản trị viên diễn đàn dành cho lập trình viên nổi tiếng XDA-Developers Forum, thông báo về lỗi trong Skype phiên bản 3.2.0.6673 vừa được phát hành tháng trước. Theo số liệu của Microsoft, Skype hiện được cài đặt trên hơn 100 triệu thiết bị Android khắp thế giới.

Để khai thác lỗ hổng Skype trên thiết bị Android, “Pulser” chỉ cần thực hiện một số bước đơn giản (với điều kiện điện thoại hoặc máy tính bảng của nạn nhân đều đang mở ứng dụng Skype).

Bước 1: Kẻ tấn công gọi Skype tới thiết bị của nạn nhân để màn hình khóa thiết bị nạn nhân hiển thị tùy chọn trả lời hay từ chối cuộc gọi.

Bước 2: Chấp nhận cuộc gọi đến bằng cách chạm vào nút bấm màu xanh trên màn hình.

Bước 3: Kết thúc cuộc gọi trên thiết bị của kẻ tấn công.

Bước 4: Thiết bị của nạn nhân cũng kết thúc cuộc gọi và hiển thị trở lại màn hình khóa.

Bước 5: Tắt màn hình của thiết bị nạn nhân bằng nút nguồn, sau đó bật trở lại lần nữa.

Bước 6: Màn hình khóa đã bị vượt qua và vẫn duy trì tình trạng “vườn không nhà trống” cho tới khi được khởi động lại.

“Pulser” khai thác thành công lỗ hổng này trên các thiết bị như Sony Xperia Z, Samsung Galaxy Note 2 và Huawei Premia 4G. Microsoft vẫn chưa bình luận gì về sự việc này.

“Vượt rào” màn hình khóa không phải lỗi xa lạ đối với smartphone. Một lỗ hổng tương tự trong ứng dụng Viber từng được BKAV khám phá hồi tháng 4 năm nay đối với các máy từ Samsung, Sony, HTC.

Riêng 2 ví dụ của Skype và Viber đủ cho thấy sự yếu kém trong cấu trúc an ninh của nền tảng di động hay ít nhất là sự lỏng lẻo trong tương tác giữa các ứng dụng VoIP (gọi điện Internet) với nền tảng này.

Theo Jack E. Gold, nhà phân tích của J. Gold Associate, phải có thêm một lớp bảo mật nữa trên những thiết bị đang mang dữ liệu doanh nghiệp, nhất là khi nhân viên thường dùng thiết bị cá nhân cho mục đích công việc. Cách tiếp cận tốt nhất là cung cấp công nghệ ảo hóa để cô lập dữ liệu doanh nghiệp ra khỏi dữ liệu cá nhân.

Màn hình khóa trên bất kỳ thiết bị nào chưa bao giờ đáng tin cậy và dễ dàng bị “vượt rào” trên mọi nền tảng di động, Francois Lascelles, kiến trúc sư trưởng chuyên về bảo mật của hãng giải pháp Layer 7 nhận định.