Aplicativo Airdroid vulnerável a ataques do tipo "man-in-the-middle" [atualização: corrigida e aprimorada]

Atualização, 9 de dezembro: Betty Chen, CMO da AirDroid, entrou em contato com o Android Central com as últimas informações sobre o trabalho da equipe para corrigir a vulnerabilidade. Veja a resposta abaixo:

Acabamos de concluir o lançamento do AirDroid (Mobile 4.0.0.3; Mac / Win 3.3.5.3) na Google Play Store, que agora está disponível para todos os usuários. Nesta atualização, aprimoramos nosso mecanismo de criptografia conforme planejado e corrigimos o problema referente à preocupação recente com a segurança do AirDroid.

O problema foi corrigido na atualização.

Juntamente com outras melhorias de segurança, atualizamos os canais de comunicação para https e aprimoramos o método de criptografia.

Devido à natureza de plataforma cruzada do AirDroid, levamos algum tempo para projetar uma solução personalizada e aumentar a segurança em todos os aspectos. Introduzimos o sistema de codificação de reestruturação no AirDroid4.0 e AirDroid 4.0.0.1 para garantir que a compatibilidade funcione bem nas plataformas no final de novembro. Após uma avaliação cuidadosa, começamos a implantar essa atualização parcialmente no início deste mês entre os clientes, para garantir que a comunicação seja bem-sucedida. Agora podemos finalmente lançar esta atualização completamente para corrigir o problema levantado e garantir que nossos usuários estejam melhor protegidos.

Uma pesquisa da empresa de segurança Zimperium mostrou que o popular aplicativo de gerenciamento remoto AirDroid é vulnerável aos chamados ataques de "homem do meio", deixando os telefones dos usuários abertos para roubo de dados ou, na pior das hipóteses, comprometimento do dispositivo por meio de um seqüestro. Atualizar arquivo.

De acordo com o Zimperium, um invasor na mesma rede que a vítima pretendida pode interceptar os dados de autenticação e personificar o usuário, permitindo que dados pessoais - como SMS, chamadas, notificações ou detalhes de contato - sejam expostos.

Mais seriamente, o mecanismo pelo qual o aplicativo é atualizado também pode ser invadido da mesma maneira, expondo os usuários do AirDroid a todo o dispositivo comprometido por um arquivo APK malicioso. A empresa de segurança possui uma prova de conceito completa em seu site, além de detalhes de como divulgou as vulnerabilidades ao desenvolvedor Sand Studio, a partir de maio de 2016.

Zimperium diz que o AirDroid 4.0.0 e 4.0.1 lançado recentemente permanece vulnerável à mesma vulnerabilidade. Entramos em contato com o Sand Studio para comentar e atualizaremos esta postagem com qualquer resposta. Enquanto isso, se você é um usuário do AirDroid com consciência de segurança, pode pensar em desinstalar até que uma correção esteja disponível.

Você pode baixar a versão mais recente do AirDroid para o seu dispositivo Android aqui. A versão mais recente do aplicativo para desktop pode ser baixada no site da AirDroid. Se você é um usuário frequente do AirDroid, definitivamente deseja baixar essas atualizações críticas o mais rápido possível.