Lỗ hổng bảo mật giúp hacker chiếm đoạt thiết bị Android từ trang web

Lỗ hổng bảo mật này được chuyên gia nghiên cứu Guang Gong của hãng bảo mật Quihoo 360 (Trung Quốc) phát hiện thấy và công bố tại Hội nghị bảo mật PacSec diễn ra tại Tokyo (Nhật Bản).

Trong màn trình diễn khai thác lỗ hổng bảo mật này, Guang Gong cho thấy các tin tặc không cần phải khai thác các lỗ hỏn bảo mật khác mà chỉ cần xây dựng một trang web có chứa mã độc khai thác lỗ hổng bảo mật mới này, sau đó lừa người dùng thiết bị chạy Android sử dụng trình duyệt Chrome (là trình duyệt mặc định trên phần lớn thiết bị Android hiện nay) truy cập vào trang web đó, lập tức thiết bị sẽ bị tin tặc tấn công và chiếm đoạt.

Guang Gong không công bố thông tin chi tiết về lỗ hổng bảo mật nghiêm trong này tuy nhiên có vẻ như đây là lỗ hổng nằm trên bộ xử lý JavaScript của trình duyệt Chrome phiên bản mới nhất, giúp hacker có thể qua mặt hệ thống bảo mật của nền tảng Android một cách dễ dàng để chiếm quyền điều khiển thiết bị. Một khi thiết bị đã bị xâm nhập, tin tặc có thể kích hoạt bất kỳ ứng dụng nào có trên thiết bị mà mình muốn và có thể mở thêm các cổng để tin tặc cài đặt mã độc lên thiết bị.

“Điều ấn tượng nhất về lỗ hổng bảo mật do Guang phát hiện đó là có thể dễ dàng xâm nhập thiết bị chỉ bằng việc truy cập một trang web”, Dragos Ruiu, đại diện ban tổ chức hội nghị ảo mật PacSec cho biết. “Một khi người dùng smartphone truy cập vào trang web, lỗ hổng bảo mật tren bộ xử lý JavaScript của Chrome sẽ bị khai thác để cài đặt một ứng dụng tùy ý mà không cần sự cho phép của người dùng, sau đó sẽ chiếm hoàn toàn quyền kiểm soát của thiết bị”.

Lỗi bảo mật này sau đó đã được cảnh báo đến Google ngay sau khi được công bố tại hội nghị. Do Gong chưa công bố thông tin chi tiết về lỗi bảo mật này nên hacker vẫn chưa thể khai thác lỗ hổng bảo mật mà Gong đã phát hiện ra, bên cạnh đó nhà nghiên cứu bảo mật này cũng có đủ điều kiện để nhận được số tiền thưởng mà Google sử dụng để thưởng cho những người phát hiện lỗi bảo mật trên các sản phẩm của hãng.

Google cho biết sẽ sớm phát hành bản vá lỗi để khắc phục lỗ hổng bảo mật này.

T.Thủy