Minst tio miljoner Android-användare sårbara via buggig app

Under minst sex månader så har AirDroid funnits i den officiella nätbutiken för Android-appar, Google Play, och laddats ned tio till femtio miljoner gånger. Appen gör det möjligt att fjärrstyra en annan enhet men den använder svag, otillräcklig, kryptering och osäkra lösningar för kommunikationen vilket gör en enhet mycket sårbar för attacker utifrån.

En enhet kan relativt enkelt tas över och kontrolleras om den finns på samma nätverk som den som genomför attacken, skriver säkerhetsföretaget Zimperium. Den krypteringsnyckel som används kan stjälas av någon på samma nätverk och därefter kan den obehöriga stegvis, snabbt öka sin access till enheten (telefonen/surfplattan) och t a för sig av kontoinformation, information om enheten och användaren.

AirDroid is a popular remote management tool for Android. It has an estimated user base of over 50 million devices according to the Google Play Store.
Our research highlights how insecure communication channels make millions of users vulnerable to Man-in-the-Middle (MITM) attacks, information leakage and remote hijacking of update APK whoch leads to a remote code execution by a malicious party. The attacker exploits the app’s built-in functionalities and uses them against its users.

AirDroid kan laddas ned och användas på Android 4.0 och uppåt och AirDroid har laddats ned mellan tio miljoner till femtio miljoner gånger vilket gör att ett mycket stort antal användare kan riskera att få sina enheter kapade och övertagna av obehöriga.

Utvecklarna av appen har dessutom helt negligerat de varningar och den information som skickats till dem. Redan i maj i år så fick utvecklarna information om säkerhetsbristerna men säkerhetsproblemen finns fortfarande i den senaste versionen, 4.0.0.1, som släpptes bara för någon vecka sedan. 

Macken har kontaktat utvecklarna (via Twitter) och bett om en kommentar men de här ännu inte återkommit i ämnet.