⚡ Обзор трендов за неделю

👆 Специалисты компании Novee задокументировали новую технику атаки на Android WebView, ведущую к выполнению произвольного JavaScript-кода в контексте любого домена (UXSS). Атакующий может захватывать аккаунты, красть сессионные куки, обходить политики безопасности контента и многое другое. При этом ему не нужно контролировать хост-приложение: достаточно, чтобы вредоносный код был запущен в контексте WebView. Исследователи проанализировали 20 приложений разного назначения — браузеры, предустановленные OEM-программы, мессенджеры и платформы электронной коммерции с миллиардами установок — 12 из них оказались подвержены данной проблеме.

Уязвимость возникает из-за разности контекста во время проверки прав доступа и фактического использования JavaScript-моста между нативным кодом и страницей. Всего специалисты выделили две основные семьи паттернов, ведущих к UXSS: в одном случае злоумышленнику достаточно установить обработчик определённого события и перенаправить пользователя на целевую страницу, а в другом эксплуатируется распространённая ошибка обработки навигации.

WebView является важным компонентом экосистемы, но думаю, что если его проблемам будут уделять больше внимания, то функциональность браузера может быть урезана. Google последовательно забирает у разработчиков свободный доступ к различным API — файлы, уведомления, буфер обмена, а вскоре и установку APK.

👆 Против Apple подан коллективный иск — компания распространяла поддельную версию криптокошелька Sparrow Wallet через App Store. Несмотря на неоднократные предупреждения от реального разработчика приложения, Apple не только не удалила подделку, но и добавляла её в списки рекомендаций. Аккаунт настоящего разработчика кошелька компания, наоборот, забанила за то, что он, не добившись реакции на предупреждения о подделке, пытался опубликовать в App Store заглушку, сообщающую, что Sparrow Wallet не поддерживается на iOS.

Проблема подделок носит системный характер: похожая история была с приложением Ledger и ещё 26 пакетами, и тоже в App Store. В этом иске потерпевшие заявляют об убытках более 1.8 млн долларов, а в истории с Ledger сообщалось о 9.5 млн потерь.

👆 Журналисты OCCRP обнаружили предполагаемую схему слежки через мобильные приложения Nicegram, eSIM Plus и другие. Анализ кода показал, что разработчик приложения, прикрывающийся литовским прокси Appvillis, на самом деле является белорусской компанией Mobyrix, принадлежащей связанному с окружением Лукашенко бизнесмену Андрею Шимановичу. eSIM Plus, например, передаёт аналитические данные через AppMetrica Яндексу и маршрутизирует звонки через российский Voximplant.

Происхождение кода непрозрачно для пользователей, а магазины приложений игнорируют проблему. Google пытается поддерживать SDK Index, но на страницах Play Store не раскрывает, какие библиотеки используются; к тому же AppMetrica в SDK Index значится как доверенная. Вместе с этим американские исследователи обнаружили, что 7% приложений, ориентированных на военный персонал США, включают код компаний из стран-противников — прежде всего Китая и РФ. Чаще это код Huawei, Яндекс, Pushwoosh.

✏️ Интересное чтение на выходные: GPT 5.6 Sol 24 часа управлял приложением в App Store (он пошёл закупать мотив), 98.css

✈ Топ приложений на радарах

🍩 ShieldGuard ~ 3 800 установок/день, 46 дней онлайн. Стиль: #light
🍩 Prism Jewel Slots ~ 1 500 установок/день, 72 дня онлайн. Стиль: #jewels
🍩 Edge Flock ~ 1 200 установок/день, 21 день онлайн. Стиль: #chicken
🍩 Joker Flame ~ 800 установок/день, 72 дня онлайн. Стиль: #jocker #sevens #wheel
🍩 Fortune Maya Gems Match ~ 600 установок/день, 36 дней онлайн. Стиль: #aztec
🍩 Fortune's Gems Ancestral Gold ~ 500 установок/день, 37 дней онлайн. Стиль: #aztec

🔥 Лучшие приложения сервисов аренды (обозначения)

🔫 T0wer Rush Стиль: #towerrush
👨‍💻 Aviator Стиль: #aviator
🦋 Tiger Mood Стиль: #tiger #china
🔫 Сhlсkеn R0аd Стиль: #fruits
🔫 Tower Rush Стиль: #towerrush
🤐 Crush Tower Build Стиль: #towerrush

🟡 Объём блокировок — Средний.

#тренды

🖼➡ подписаться ▪ чат ▪ каталог сервисов аренды