Gần 1 tỷ smartphone sử dụng chip Qualcomm dễ bị tấn công

Gần đây, 4 lổ hổng bảo mật nghiêm trọng đã được các nhà bảo mật tìm thấy trên những chiếc điện thoại và máy tính bảng Android sử dụng chip Qualcomm. Lỗ hổng có thể khiến tin tặc dễ dàng khai thác và chiếm quyền điều khiển thiết bị.

Lỗ hổng mới được phát hiện có tên gọi "Quadrooter" và được đánh giá là có tính nguy hiểm "cao". Adam Donenfeld, người đứng đầu bộ phận bảo mật trên di động của Check Point và là người tìm ra các lỗ hổng nói trên, đã có những giải thích chi tiết tại hội nghị Def Con diễn ra hôm Chủ nhật vừa qua.

 

Theo đó, hacker có thể lừa người dùng cài đặt một ứng dụng độc hại. Không giống một số malware khác, ứng dụng này không yêu cầu các quyền truy cập đặc biệt vào các thành phần trên thiết bị.

Hầu hết điện thoại Android không cho phép cài ứng dụng bên thứ ba bên ngoài Google Play, tuy nhiên, thực tế trước đây cho thấy, hacker vẫn có cách đưa ứng dụng độc hại của chúng lên kho ứng dụng chính thức của Google.

Hãng tìm kiếm đã từng phải xoá bỏ hàng loạt ứng dụng loại này sau khi các báo cáo của nhiều hãng bảo mật cho thấy, các ứng dụng trên Google Play bị nhiễm malware.

Nếu hacker khai thác được thành công lỗ hổng, chúng có thể truy cập quyền root, cho phép điều khiển toàn bộ thiết bị, truy cập dữ liệu và phần cứng của máy - bao gồm camera và microphone.

Check Point cho biết hầu hết smartphone của tất cả các nhà sản xuất đều có nguy cơ gặp lỗi. Hãng cũng chỉ ra một số thiết bị có nguy cơ bị tấn công như: Nexus 5X, Nexus 6, Nexus 6P của Google, One M9 và HTC 10 của HTC, Galaxy S7 và S7 Edge của Samsung.

Chiếc DTEK50 mà BlackBerry vừa ra mắt cách đây ít lâu và được quảng cáo là smartphone Android bảo mật nhất, cũng không phải là ngoại lệ.

Cũng theo các chuyên gia bảo mật Check Point, QuadRooter có tầm ảnh hưởng rất rộng và đã được “đóng gói” sẵn từ phía nhà sản xuất nên điều này có thể nói là gây không ít sự hoang mang trong lòng người dùng smartphone, nhất là những sản phẩm dùng bộ xử lý Qualcomm. 

Check Point cho biết hầu hết smartphone của tất cả các nhà sản xuất đều có nguy cơ gặp lỗi

3 trong số 4 lỗ hổng trên đã được vá lỗi, lỗ hổng thứ 4 dự kiến sẽ được Google vá trong bản cập nhật bảo mật vào tháng 9 tới.

Bên cạnh đó, Qualcomm cũng cung cấp chi tiết lỗ hổng bảo mật này cho các nhà sản xuất để họ chủ động phát hành bản vá lỗi sớm hơn cho thiết bị của người dùng.

Michael Shaulov, đại diện Check Point tỏ ra hơi thất vọng đối với quá trình khắc phục lỗ hổng "Quadrooter". Ông nói: "Qualcomm có một vị trí quan trọng trong chuỗi phát triển do đó các nhà sản xuất điện thoại thường nhận mã nguồn từ Qualcomm thay vì Google".

Shaulow giải thích rằng, điều này sẽ làm phức tạp quá trình vá lỗi, dẫn tới việc bản vá cuối cùng bị chậm. Check Point ra hạn 3 tháng để các bên liên quan sửa toàn bộ các lỗi bảo mật mà hãng phát hiện ra (và báo cáo bí mật).

Nếu quá thời hạn này, lỗi sẽ được công bố công khai. Việc chậm trễ nói trên đã khiến báo cáo của Check Point được công bố vào thời điểm vẫn còn 1 lỗ hổng chưa được vá.