AirDroid — это бесплатное приложение, которое позволяет подключить Android-устройство по беспроводной сети к компьютеру или ноутбуку, как если бы вы сделали это через USB-кабель. Но кроме этого оно обладает еще несколькими удобными функциями такими как возможность передавать файлы или отправлять SMS-сообщения.
Приложение очень популярно и только с Play Маркет его скачали от 10 до 50 млн человек, это не считая тех кто установил APK-файл, загруженный непосредственно с сайта AirDroid.
Но недавно компания Zimperium опубликовала детали нескольких крупных эксплойтов AirDroid, которые позволяют злоумышленникам, находящимся в одной сети, получить доступ к данным пользователя и даже запустить выполнение кода на его устройстве!
Simone Margaritelli, исследователь Zimperium, который занимался этим вопросом сказал, что недоброжелатель, находящийся с вами в одной сети, может получить полный контроль над вашим устройством и украсть конфиденциальную информацию, которая включает в себя IMEI, IMSI, адрес электронной почты и пароль, связанные с аккаунтом AirDroid и т.д.
Но и это не самое худшее. Далее злоумышленник, используя прозрачный прокси может перехватить запрос сети AirDroid для проверки обновлений приложений, а затем под видом обновления установить вредоносный APK-файл и попросить пользователя принять установку.
Еще 24 мая (!) Zimperium уведомила разработчиков AirDroid о найденных уязвимостях, и через несколько дней они признали наличие проблемы и пообещали исправить ее с выходом следующего обновления до версии 4.0, но и с выходом версии 4.0.0.1 патчей для этих эксплойтов нет.
В связи с этим компания Zimperium опубликовала подробности найденных уязвимостей и указала, что у Sand Studio (разработчиков AirDroid) было 7 месяцев, чтобы их исправить.
Если вы пользуетесь приложением AirDroid, то рекомендуем вам немедленно его отключить или удалить с устройства!
Разработчики приложения пока не дают никаких комментариев и не реагируют на многочисленные обращения пользователей, которые справедливо возмущены тем фактом, что за 7 месяцев Sand Studio так и не выпустили необходимые патчи, тем самым сознательно подвергая угрозе личную информацию своих пользователей.