Через четыре месяца после закрытия компанией Google уязвимости Android Qualcomm Secure Execution Environment (QSEE) исследователь безопасности рассказал об ней и о том, как она может быть использована для компрометации устройств. Она была устранена в январе в обновлении Google Nexus Security Bulletin; баг CVE-2015-6639 позволяет повышать привилегии в Android TrustZone.

Android TrustZone представляет собой специальную секцию ядра Android, работающую отдельно от остальной части ядра с наиболее важными операциями, вроде шифрования данных. У Qualcomm есть свой вариант реализации ядра TrustZone, используемый на устройствах под управлением процессоров этой компании.

Сама по себе уязвимость безобидна, но если объединить две уязвимости, использование CVE-2015-6639 может дать рут-права в Qualcomm TrustZone. Для этого подойдёт любая уязвимость в компоненте медиасервер на Android. Именно там располагается наделавшая много шума уязвимость Stagefright, и с момента релиза Android Security Bulletin в прошлом сентябре каждый месяц Google закрывает хотя бы одну уязвимость в нём.

Хакерам остаётся внедрить в приложение эксплоиты для двух уязвимостей и заставить пользователей установить его. Данные телеметрии с полумиллиона Android-смартфонов показывают, что уязвимые версии Android и процессоры Qualcomm используют 60% аппаратов. Поскольку печальная ситуация с распространением обновлений на Android в описании не нуждается, даже релиз патча не слишком улучшит ситуацию.

Это уже не первая связанная с Qualcomm уязвимость, о прошлой сообщалось ранее в этом месяце.

В апреле исследователи из компании Checkpoint расследовали деятельность очередного отряда вредоносного ПО: множество приложений пробрались в магазин Google Play и попали на аппараты ничего не подозревающих пользователей устройств на Android. Некоторые из них оказались популярными и были скачаны много раз, прежде чем пользователи заметили подозрительное поведение и отреагировали в комментариях и оценках.

Приложения Viking Jump, WiFi Plus, Parrot Copter, Memory Booster и Simple 2048 содержат вредоносные компоненты, которые начинают вести свою деятельность после запуска. Два компонента с названиями как у системных файлов Android устанавливаются на устройства, один обменивается данными с вредоносными частями программ, другой хранит список компонентов. Программа проверяет наличие рут-доступа и если устройство рутировано, устанавливает ещё два компонента. В любом случае устанавливается связь с командным сервером, отсылаются данные об уровне заряда, типе связи и номер телефона.

Сервер открывает прокси-соединение для обмена информацией с устройством. В этой кампании устройства имитируют клики на рекламу для получения прибыли. Некоторые программы отправляли дорогостоящие СМС, также возможны DDoS-атаки, рассылка спама и дистанционное выполнение кода.

Checkpoint Security приписывает 44% случаев инфицирования пользователям в России, где доминирует версия Android 4.4. Более поздние Lollipop и Marshmallow обладают более строгими ограничениями доступа. Checkpoint уведомила Google о своей находке в начале мая.

18 мая стартовала конференция разработчиков Google I/O 2016 и в первый день главное вникание привлекла к себе следующая версия операционной системы Android. Android N была доступна разработчикам в виде альфа-версии с марта, а релиз финальной версии ожидается в конце лета.

В числе главных новшеств Android N - возможность отображения одновременно двух приложений и режим «картинка в картинке». В прокручиваемом списке недавних приложений теперь отображаются семь последних программ. Поддержка графического интерфейса Vulkan даёт разработчикам больший доступ к аппаратному обеспечению и улучшает кроссплатформенную совместимость игр и приложений. Новый компилятор JIT на 75% ускорит процесс установки приложений, а размер скомпилированного кода уменьшится на 50%.

Появится улучшенная версия функции энергосбережения Doze, получившая название Doze on the Go. Она будет работать не только когда аппарат не трогают, но и когда он, например, находится в кармане. Новые приложения Android Instant Apps совместимы с версиями от Jelly Bean и работают по нажатию на ссылку без необходимости установки. Поддержка стандарта Unicode 9 привела к появлению 72 новых смайлов.

Новый Google Assistant будет вести контекстный поиск и работать в приложении-чате Allo, используя наработки в сфере искусственного интеллекта. В нём для входа в аккаунт будет использоваться номер телефона, так что программу можно считать конкурентом WhatsApp.

Появился новый режим VR Mode для устройств виртуальной реальности и режим постоянной производительности (Sustained performance mode API). Последний позволяет разработчикам прогнозировать нагрузку на систему при активности их приложения и постараться избегать перегрева и троттлинга.

Любой обладатель Nexus 5X, Nexus 6, Nexus 6P, Nexus 9, Nexus Player, Pixel C, General Mobile 4G (Android One) и Sony Xperia Z3 сейчас имеет возможность установить бета-версию Android N на свои устройства. Естественно, при этом следует учитывать возможность наличия в ней багов. Судя по всему, с финальным названием системы в Google ещё не определились.

Операционная система Apple iOS 9, которая показала самые быстрые темпы распространения в сентябре 2015, 9 мая была установлена на 84% мобильных устройств Apple. Уровень распространения iOS 8 составляет 11%, а более ранних версий 5%. Пересечение отметки в 80% является важной вехой для Apple перед релизом новой версии iOS 10. Компания может анонсировать её на своей конференции Worldwide Developers Conference в июне, а релиз ожидается в сентябре.

Статистика iOS 9 в очередной раз показывает оперативность распространения последних версий операционных систем Apple. iOS 9 совместима со смартфонами вплоть до модели iPhone 4s, с планшетами от iPad 3 и более современными, с iPod touch от 5-го поколения. Темпы распространения iOS 9 опережают показатели прошлой версии, которая пострадала от многочисленных багов, хотя в итоге добралась до уровня в 85%.

iOS 9 также имела проблемы, вроде бага с приводящими к падениям приложений гиперссылками и другим багом, из-за которого приложения не могли выйти в Интернет без Wi-Fi. Несмотря на это, менее чем за неделю после релиза более 50% устройств были обновлены.

Как обычно, напоследок приводится сравнение с Android, у которой доля последней версии составляла к началу мая лишь 7,5%.

Достаточно почитать новости за один день (здесь и здесь), чтобы понять, что Интернет является крайне небезопасным местом. В нём перед пользователями встают угрозы утечки персональной информации при взломе баз данных почтовых сервисов, онлайн-магазинов и сайтов знакомств, слежки со стороны правительств и хакеров, вирусы, трояны, приложения-вымогатели, ботнеты и прочие неприятности.

Недавно в США Национальная администрация по телекоммуникациям и информации провела опрос, в котором американцы высказали опасения в связи с проблемами сетевой конфиденциальности и безопасности. 41 тысяча домохозяйств в результате этих опасений стали меньше пользоваться Интернетом.

45% респондентов перестали проводить финансовые операции, покупать товары и услуги, писать в социальных сетях и высказывать в Интернете мнения по политическим и другим противоречивым вопросам. 19% домохозяйств (приметно 19 млн.) только за последний год сталкивались с разными видами вредоносной сетевой активности, что только усугубило их страхи.

63% пользователей опасаются хищения персональных данных, 45% бояться мошенничества с кредитными картами и банковскими счетами, 23% - сбора данных в сети, столько же опасаются потери персональных данных, 18% не хотят стать жертвой сбора данных правительством, 13% видят в Интернете угрозу личной безопасности. Все эти страхи становятся причиной замедления темпов роста цифровой экономики.