На смартфонах Google Pixel обнаружено скрытое приложение, которое делает устройства уязвимыми

Google утверждает, что её смартфоны Pixel обладают повышенной безопасностью, поскольку на них установлена чистая версия ОС Android якобы без дополнительных надстроек и стороннего ПО. Однако эксперты по кибербезопасности из компании iVerify выяснили, что на всех телефонах этой серии, начиная с сентября 2017 года, предустанавливается скрытое приложение стороннего разработчика, которое делает их уязвимыми для взлома.

Речь идёт о приложении под названием Showcase.apk, которое работает на системном уровне и остаётся невидимым для пользователя. Его разработала компания Smith Micro для американского оператора Verizon — приложение предназначено для перевода телефонов в демонстрационный режим в розничных магазинах, и Google к нему отношения не имеет.

Однако уже почти семь лет оно включается в каждый выпуск Android для устройств Pixel и обладает глубокими системными привилегиями, включая удалённое выполнение кода и установку другого ПО. Более того, приложение позволяет загружать файл конфигурации через незащищённое HTTP-соединение, что может позволить злоумышленнику перехватить управление приложением, а затем и всем устройством жертвы.

Компания iVerify сообщила Google о своём открытии ещё в начале мая, но технологический гигант до сих пор не решил эту проблему. Представитель Google Эд Фернандес (Ed Fernandez) сообщил изданию Wired, что приложение «больше не используется» Verizon и будет удалено с поддерживаемых устройств Pixel с очередным обновлением Android «в ближайшие недели». Showcase действительно ранее использовалось для демонстраций в розничных магазинах, но больше не применяется, подтвердили в Verizon. В Smith Micro отказались от комментариев.

Хотя Showcase.apk и представляет собой опасную уязвимость для телефонов, приложение по умолчанию отключено. Это означает, что для его использования в злонамеренных целях потенциальному киберпреступнику потребовался бы физический доступ к телефону жертвы для активации приложения. В iVerify также предположили, что Showcase.apk может быть установлено не только на устройствах Pixel, но и на телефонах других производителей. Эд Фернандес косвенно подтвердил это, заявив, что «мы также уведомляем других OEM-производителей Android».