Уязвимость GhostMap позволяет вредоносному Android-приложению без единой строки исполняемого кода и без запрошенных разрешений превратить смартфон в устройство с бесконечной перезагрузкой. В тесте на Pixel 10 с Android 17 цикл сбоев повторился 110 раз; для русскоязычных команд мобильной разработки это ещё один неприятный пример того, что проверять APK нужно не только по коду и списку permissions.
Проблему обнаружили исследователи румынской компании Bitdefender при разборе банковского трояна: его образцы стабильно падали на эмуляторах при попытке прочитать ресурс приложения. Как сообщает BleepingComputer, причиной оказался дефект в обработке специально сформированного APK, которому достаточно быть установленным на устройстве. Открывать приложение, выдавать ему доступы к файлам, камере или уведомлениям не требуется.
Как APK без кода ломает загрузку системы
В основе атаки — разная интерпретация методов ZIP-сжатия двумя Android-библиотеками. APK технически является ZIP-архивом, и злоумышленник может сформировать его так, чтобы одна часть системы пропустила некорректный размер ресурса, а другая попыталась отобразить файл в область памяти за пределами его фактического содержимого. Когда процесс читает эту область, процессор посылает сигнал SIGBUS — сигнал обращения к недопустимому участку памяти.
Сам по себе аварийный выход приложения был бы лишь неприятным багом. Исследователи нашли более жёсткий сценарий: в демонстрационном APK размещён ресурс, который системный процесс Android system_server автоматически читает после установки пакета. System_server падает, система перезапускает его, он снова читает тот же ресурс и вновь завершает работу. Получается устойчивый DoS без привычного окна для пользователя: удалить приложение или зайти в настройки он не успевает.
Bitdefender проверила сценарий на Pixel 10 с Android 17 и уровнем патчей безопасности от 5 августа. Примерно через секунду после установки началась последовательность падений. В обычном режиме загрузки исследователи зафиксировали 110 повторов, в безопасном — 72. Это особенно неприятная деталь: Safe Mode обычно помогает удалить подозрительное приложение, отключив сторонние программы, но в данном случае системный сервис обращается к проблемному файлу раньше, чем этот путь восстановления становится практичным.
Восстановить устройство можно двумя способами. Первый — сброс к заводским настройкам, который удалит локальные данные. Второй — удалить повреждённый файл через Android Debug Bridge. Но ADB должен быть заранее включён, а автоматизация удаления должна уложиться в короткий промежуток до очередного падения system_server. Для большинства пользователей оба варианта выглядят не как штатное устранение сбоя, а как аварийная процедура.
Почему это важно не только для пользователей
Исследователи сообщили Google о проблеме 20 августа. Ответом стал статус «Won't Fix (Not Reproducible)» — «не исправлять, не воспроизводится», а обращение сочли не входящим в рамки обновления безопасности. 25 августа Bitdefender направила расширенный отчёт, полагая, что первоначальный тикет классифицировали неверно. По данным исследователей, компания всё равно не включила проблему в ближайший security update, но оставила её для возможного рассмотрения в будущем обновлении.
Для разработчиков эта история — напоминание о границе между безопасностью собственного кода и безопасностью цепочки поставки Android-пакета. Проверки разрешений здесь почти бесполезны: вредоносный APK может выглядеть «тихим» именно потому, что ничего не просит. Магазинам приложений, MDM-системам и средствам защиты стоит анализировать структуру ZIP/APK и согласованность метаданных с фактическим содержимым, а не ограничиваться сигнатурами, манифестом и сканированием DEX-файлов.
Для бизнеса риск тоже вполне прикладной. Атака не даёт злоумышленнику автоматически украсть данные, зато позволяет вывести из строя корпоративный смартфон сотрудника — например, устройство с рабочим профилем, VPN или приложением для подтверждения операций. В организациях, где от мобильного устройства зависит доступ к рабочим системам, принудительный factory reset означает потерю времени на восстановление, повторную регистрацию и проверку доступа.
Уязвимость GhostMap пока показывает неприятный перекос в модели защиты Android: приложение можно ограничить в правах, но его установка всё ещё способна затронуть код, выполняющийся с системными привилегиями. Пока исправление не вышло, разумная мера для компаний — ограничить установку APK из непроверенных источников, проверить доступность управляемого ADB и сценариев восстановления, а для платформ — добавить проверку аномальных ZIP-ресурсов до установки пакета. Главный открытый вопрос теперь не в том, можно ли воспроизвести сбой, а в том, когда он перестанет воспроизводиться на поддерживаемых версиях Android.
