PSA: Als je ShareIt op Android gebruikt, moet je waarschijnlijk op zoek gaan naar alternatieven

Als u de ShareIt-app op uw telefoon gebruikt, wilt u deze wellicht meteen verwijderen. Cybersecurity-gigant TrendMicro heeft flagrante beveiligingskwetsbaarheden ontdekt in de app voor het delen van bestanden "misbruikt om gevoelige gegevens van een gebruiker te lekken en willekeurige code uit te voeren met ShareIt-machtigingen."

In een rapport over de kwestie, TrendMicro heeft onthuld (via Ars Technica) waar ShareIt toegang toe heeft tot een groot aantal rechten op Android vanwege de functionaliteit die het biedt. De app heeft toegang tot de volledige opslag en alle media, kan de camera en microfoon gebruiken, toegang krijgen tot locatie-informatie en nog veel meer. Het kan zelfs andere apps verwijderen, bij het opstarten worden uitgevoerd, accounts aanmaken en wachtwoorden instellen. Bovendien heeft ShareIt ook volledige netwerktoegang. Vanwege deze uitgebreide lijst met machtigingen kan het compromitteren van de app aanvallers helpen vrijwel volledige toegang te krijgen tot uw telefoon en al uw gevoelige informatie. Het biedt aanvallers ook de mogelijkheid om op afstand kwaadaardige code uit te voeren.

Als we dieper ingaan op een van de kwetsbaarheden, Ars Technica onthult dat ShareIt er een heeft veelvoorkomende kwetsbaarheid voor Android-apps waarmee aanvallers lees-/schrijftoegang kunnen krijgen tot alle bestanden. In de publicatie wordt opgemerkt: "Android is trots op de intra-app-communicatie, deels omdat elke app een contentprovider kan creëren en zijn content en services aan andere apps kan leveren. Als Gmail een bestand aan een e-mail wil toevoegen, kan het dat doen door een lijst weer te geven met beschikbare aanbieders van bestandsinhoud die op uw telefoon zijn geïnstalleerd (het is eigenlijk een "openen met"-dialoogvenster), en de gebruiker kan zijn favoriete bestandsbeheerder kiezen, door zijn opslag navigeren en het gewenste bestand doorgeven Gmail. Het is aan ontwikkelaars om deze cross-app-mogelijkheden op te schonen en alleen de noodzakelijke mogelijkheden voor bestandsbeheer beschikbaar te stellen aan Gmail en andere apps."

De ontwikkelaars achter ShareIt hebben er echter niet veel over nagedacht om de mogelijkheden van de app voor het leveren van inhoud te beperken, waardoor aanvallers toegang kunnen krijgen tot alle bestanden in de 'privé'-map van ShareIt. In feite stelt dit beveiligingslek aanvallers in staat een beroep te doen op de bestandsinhoudprovider van ShareIt en deze een bestandspad door te geven om toegang te krijgen tot alle gegevensbestanden. Hierdoor kunnen apps van derden de gegevens bewerken die ShareIt gebruikt om te worden uitgevoerd, inclusief de app-cache die wordt gegenereerd tijdens de installatie en runtime. TrendMicro beweert dat "Een aanvaller kan een nepbestand maken en die bestanden vervolgens vervangen via de bovengenoemde kwetsbaarheid om code-uitvoering uit te voeren."

Omdat ShareIt ook over een Android-app-installatieprogramma beschikt, is het ook vatbaar voor een "Man-in-the-disk"-aanval. Vanwege de hierboven genoemde kwetsbaarheid hebben aanvallers de mogelijkheid om installatiepakketten uit te wisselen met een kwaadaardige app zodra deze worden gedownload. Dit kan ertoe leiden dat gebruikers onbewust kwaadaardige apps op hun apparaten installeren. Bovendien heeft de gamewinkel van ShareIt de mogelijkheid om app-gegevens te downloaden via onbeveiligde HTTP. Dit kan onderworpen zijn aan een "Man-in-the-middle"-aanval. Als Ars Technica legt uit, "ShareIt registreert zichzelf als de handler voor elke link die zijn domein beëindigt, zoals 'wshareit.com' of 'gshare.cdn.shareitgames.com', en het zal automatisch verschijnen wanneer gebruikers op een downloadlink klikken. De meeste apps forceren al het verkeer naar HTTPS, maar ShareIt doet dat niet. Chrome sluit het HTTP-downloadverkeer af, dus dit zou via een andere webinterface dan de hoofdbrowser moeten gebeuren."

Trend Micro heeft de kwetsbaarheden al gerapporteerd aan ShareIt, maar de ontwikkelaars hebben tot nu toe geen patches uitgebracht om de problemen op te lossen. We raden u aan de app te verwijderen totdat de ontwikkelaars een oplossing hebben gevonden. Tot die tijd kun je die van Google gebruiken Bestanden-app voor al uw lokale behoeften op het gebied van het delen van bestanden.