High-Tech Bridge: более 90% криптовалютных приложений для Android содержат как минимум три уязвимости

В настоящее время в Google Play представлено множество различных приложений, предназначенных для управления криптовалютами. Специалисты швейцарской компании High-Tech Bridge провели исследование данной области рынка, которое показало, что подавляющее большинство таких решений плохо защищены и уязвимы даже перед самыми банальными и известными проблемами.

Для изучения приложений специалисты использовали собственную разработку, веб-сканер Mobile X-Ray, который осуществляет статическое и динамическое тестирование, а также проводит проверки на уязвимости перед известными багами, ищет потенциальные утечки данных, вредоносную функциональностью и так далее.

Таким образом, исследователи изучили 90 наиболее популярных криптовалютных приложений для Android и установили, что более 90% из них подвергают своих пользователей различным рискам. К примеру, в приложениях обнаружились жестко закодированные ключи API и пароли, отсутствие какого-либо шифрования, уязвимости перед MitM-атаками и так далее.

Аналитики предупреждают, что некоторые из найденных ими уязвимостей могут взять на вооружение авторы банковских троянов, так как криптовалюты продолжают дорожать и привлекают к себе все больше внимания.

«К сожалению, выводы, полученные в ходе данного исследования, меня не удивляют, — говорит Илья Колоченко, CEO и основатель High-Tech Bridge. — На протяжении многих лет ИБ-компании и независимые эксперты предупреждали мобильных разработчиков о рисках, которые влечет за собой agile-девелопмент, обычно подразумевающий отсутствие фреймворков, подкрепляющих безопасный дизайн, отсутствие безопасного кодинга и техник отказоустойчивости, а также тестирования безопасности приложений».

В таблице ниже приведены все обнаруженные специалистами проблемы для разных групп приложений.

Источник