Bitdefender Labs: уязвимость GhostMap в Android 10+ вызывает бутлуп от файла в 8408 байт

Исследователи Bitdefender Labs описали уязвимость в Android под названием GhostMap, сообщает AD HOC NEWS. Она позволяет злоумышленнику ввести смартфоны разных производителей в постоянный цикл перезагрузок. Достаточно установить манипулированный файл приложения: его не нужно открывать, он не должен выполнять собственный код или иметь разрешения, выданные пользователем ad-hoc-news.deAD HOC NEWSad-hoc-news.deОткрыть источник ↗.

Причина: расхождение в разборе ZIP

По данным Bitdefender Labs, причина в неверной обработке операционной системой полей ZIP, а именно метода сжатия и заявленной длины несжатого файла ad-hoc-news.deAD HOC NEWSad-hoc-news.deОткрыть источник ↗. Две внутренние библиотеки Android трактуют их по-разному. Одна проверяет указанный размер файла только для несжатых записей, а другая считает несжатыми все методы, кроме Deflate ad-hoc-news.deAD HOC NEWSad-hoc-news.deОткрыть источник ↗.

Из-за этого расхождения изготовленный установочный файл может обойти предусмотренные системой проверки размера. В тестах исследователей хватило изменённого файла размером 8408 байт, отображённого на область памяти около 16 МБ. Чтение за фактическим концом файла вызывает ошибку SIGBUS, которая завершает процесс и запускает цикл перезагрузок ad-hoc-news.deAD HOC NEWSad-hoc-news.deОткрыть источник ↗.

Охват, восстановление и раскрытие

По словам исследователей, GhostMap затрагивает все версии Android начиная с Android 10, то есть поколения системы за последние семь лет, у всех производителей смартфонов. После запуска цикла вредоносное приложение штатными средствами удалить нельзя. В большинстве случаев восстановление возможно только сбросом до заводских настроек, что стирает все несохранённые локальные данные. Очистка без потери данных удаётся лишь тогда, когда до сбоя была включена отладка по USB и заранее подготовлены скрипты очистки. Сторонние средства защиты могут предупредить о таких программах, но не могут сами заблокировать установку на уровне системы ad-hoc-news.deAD HOC NEWSad-hoc-news.deОткрыть источник ↗.

Bitdefender Labs обнаружила уязвимость 12 августа 2026 года при анализе банковского дроппера. По оценке исследователей, автор этой вредоносной программы тогда не знал о механизме сбоя. 20 августа команда сообщила о проблеме в Google через программу вознаграждений за уязвимости Android. Сначала Google признала ошибку неисправимой и невоспроизводимой. После расширенного отчёта с демонстрацией работоспособности 25 августа Google отнесла вопрос к выходящим за рамки регулярных обновлений безопасности и передала его команде разработки функций для будущих версий системы ad-hoc-news.deAD HOC NEWSad-hoc-news.deОткрыть источник ↗.

На момент публикации патча или обновления безопасности от Google не было. Исследователи не наблюдали активного использования для устойчивых атак, официальный идентификатор CVE не присвоен. Bitdefender Labs ведёт угрозу под названием Android.Riskware.Ghostmap.rA. Среди возможных сценариев компания называет саботаж, шантаж, постоянное отключение средств защиты и скрытое внедрение через обычные обновления приложений. Там же отмечено, что публикация технических деталей может облегчить создание рабочих атак третьими лицами ad-hoc-news.deAD HOC NEWSad-hoc-news.deОткрыть источник ↗.