ثغرة GhostMap تُدخل هاتف أندرويد في حلقة انهيار بمجرد تثبيت ملف APK.. ولا يظهر سبب العطل للمستخدم

اكتشف باحثو بيتدفندر ثغرة جديدة في نظام أندرويد أطلقوا عليها اسم GhostMap، ويمكنها إدخال الهاتف في حلقة انهيار متكررة تجعله غير قابل للاستخدام بمجرد تثبيت ملف APK مُعدّ خصيصًا، من دون الحاجة إلى منح التطبيق أذونات أو تشغيل شيفرة خبيثة.

كيف يتوقف الهاتف عن العمل؟

ظهرت الثغرة خلال تحقيق بدأ في أغسطس، عندما كان الباحثون يحللون ملف APK خبيثًا مرتبطًا باستهداف الخدمات المصرفية. وتسبب الملف في انهيار المحاكيات التابعة لبيتدفندر، لكن التحليل أظهر أن المشكلة لا تعود إلى البرمجية الخبيثة نفسها، بل إلى طريقة تعامل أندرويد مع أساليب ضغط ملفات ZIP داخل حزم التطبيقات.

فإن النظام يسيء تفسير المعلومات المتعلقة بكيفية ضغط الملفات الموجودة داخل ملف APK، ما قد يؤدي إلى انهيار مكونات أساسية في أندرويد. ولإثبات الخلل، أعدّ فريق بيتدفندر حزمة تطبيق خاصة يؤدي تثبيتها إلى انهيار العملية الأساسية system_server بشكل متكرر.

تبدأ العملية بانهيار system_server، ثم يعيد أندرويد تشغيلها. وعند بدء الخدمات من جديد، يفحص النظام التطبيقات المثبتة على الجهاز ويقرأ الملف نفسه، ما يؤدي إلى انهيار العملية مرة أخرى. ونتيجة لذلك، لا يتمكن الهاتف من إكمال عملية بدء التشغيل، وتتكرر الدورة كل بضع ثوانٍ.

ولا تفتح التطبيقات أثناء هذه الحالة، كما لا تظهر للمستخدم رسالة تحذير تحدد التطبيق المسؤول عن المشكلة، ما يجعل معرفة سبب العطل صعبة. وعلى خلاف كثير من التطبيقات الخبيثة، لا تحتاج الثغرة إلى طلب أذونات أو تنفيذ شيفرة؛ إذ يكفي تثبيت التطبيق المُعدّ بطريقة معينة.

استعادة الهاتف وموقف غوغل

يمكن استعادة الجهاز، وفق التقرير، بإعادته إلى إعدادات المصنع أو بحذف الملف الضار يدويًا باستخدام أداة ADB.

ولم تُرصد حتى الآن مؤشرات على استخدام GhostMap في هجمات حقيقية. وأبلغت بيتدفندر شركة غوغل بالخلل مرتين عبر برنامج مكافآت اكتشاف ثغرات أندرويد والأجهزة التابع لها. وأغلقت غوغل البلاغ الأول بالحالة «Won’t Fix (Not Reproducible)»، أي «لن تتم المعالجة، ولا يمكن إعادة إنتاج الخلل».

أما البلاغ الثاني، الذي تضمن إثباتًا عمليًا للتشغيل وتعليمات لإعادة إنتاج المشكلة، فأفادت غوغل، بحسب التقرير، بأن الخلل «خارج نطاق تحديثات الأمان». ومع ذلك، أحالت الشركة البلاغ إلى «الفريق المعني للمراجعة»، ولم يصدر حتى الآن تصحيح للثغرة أو موعد رسمي لإطلاقه.

وقد يتيح نشر تفاصيل GhostMap على نحو علني للمهاجمين محاولة إعادة إنتاجها، ما قد يزيد المخاطر على المستخدمين إذا جرى استغلالها. وفي المقابل، قد يدفع الكشف العلني غوغل إلى إصدار تصحيح قبل استغلال الخلل. ولم يُعلن حتى الآن عن موعد رسمي لإطلاق التصحيح.

المصدر: shiftdelete