Мобільні антивіруси не працюють

TL; DR якщо на ваших корпоративних мобільних пристроях потрібен антивірус, значить ви робите все неправильно і антивірус вам не допоможе.

Цей пост - результат спекотних суперечок на тему того, чи потрібен на корпоративному мобільному телефоні антивірус, в яких випадках він працює, а в яких марний. У статті розбираються моделі загроз, від яких в теорії повинен захищати антивірус.

Продавцям антивірусів часто вдається переконати корпоративних клієнтів, що антивірус сильно підвищить їх безпеку, але в більшості випадків це ілюзорний захист, через який тільки знижується пильність як користувачів, так і адміністраторів.

Правильна корпоративна інфраструктура

Коли в компанії десятки або навіть тисячі співробітників, налаштовувати кожен пристрій користувача вручну неможливо. Налаштування щодня можуть змінюватися, приходять нові співробітники, у них ламаються або губляться мобільні телефони і ноутбуки. У підсумку вся робота адмінів полягала б у щоденному розгортанні нових налаштувань на пристроях співробітників.

На десктопних комп'ютерах цю задачу почали вирішувати давно. У світі Windows, зазвичай, таке управління відбувається за допомогою Active Directory, централізованих систем автентифікації (Single Sign In) тощо. Але тепер у всіх співробітників до комп'ютерів додалися смартфони, на яких відбувається значна частина робочих процесів і зберігаються важливі дані. Microsoft намагалися об'єднати свої телефони на Windows Phone в єдину екосистему з Windows, але ця ідея померла разом з офіційною смертю Windows Phone. Тому в корпоративному середовищі в будь-якому випадку доводиться вибирати між Android і iOS.

Зараз в корпоративному середовищі, для управління пристроями співробітників, в моді концепція UEM (Unified endpoint management). Це централізована система управління мобільними пристроями і десктопними комп'ютерами.

Централізоване керування пристроями користувача (Unified endpoint management)

Адміністратор системи UEM може встановлювати різні політики для пристроїв користувача. Наприклад, дозволити користувачеві більший або менший контроль над пристроєм, встановлення додатків зі сторонніх джерел тощо.

Що може робити UEM:

Керувати всіма налаштуваннями - адміністратор може повністю заборонити користувачеві змінювати налаштування на пристрої і змінювати їх віддалено.

Контролювати ПЗ на пристрої - дозволяти можливість встановлення програм на пристрої і автоматично встановлювати програми без відома користувача. Також адміністратор може заборонити або дозволити встановлення програм з магазину додатків або з недовірених джерел (з файлів APK у разі Android).

Віддалене блокування - у разі, якщо телефон втрачено, адміністратор може заблокувати пристрій або очистити дані. Деякі системи також дозволяють задати автоматичне видалення даних, якщо телефон не виходив на зв'язок з сервером більше N годин, щоб виключити можливість спроб офлайн злому, коли атакуючі встигли витягнути SIM-карту до того, як з сервера була послана команда очищення даних.

Збирати статистику - відстежувати активність користувача, час використання додатків, місце розташування, рівень заряду батареї тощо.

Які бувають UEM

Є два принципово різних підходи для централізованого управління смартфонами співробітників: в одному випадку компанія закуповує для співробітників пристрою одного виробника і зазвичай вибирає систему управління від того ж постачальника. В іншому випадку співробітники використовують свої особисті пристрої для роботи, і тут починається зоопарк з операційних систем, версій і платформ.

BYOD (Bring your own device, Принеси свій пристрій) - концепція, в якій співробітники використовують для роботи свої особисті пристрої та облікові записи. Деякі системи централізованого управління дозволяють додати другий робочий обліковий запис і повністю розділити дані на особисті та робочі.

Apple Business Manager - рідна система централізованого управління від Apple. Вміє керувати тільки пристроями Apple, комп'ютерами з macOS і телефонами на iOS. Підтримує BYOD, створюється друге ізольоване оточення з іншим обліковим записом iCloud.

Google Cloud Endpoint Management - дозволяє керувати телефонами на Android і Apple iOS, а також десктопами на Windows 10. Заявляється підтримка BYOD.

Samsung Knox UEM - підтримує тільки мобільні пристрої Samsung. При цьому відразу можна скористатися тільки Samsung Mobile Management.

Насправді постачальників UEM існує сильно більше, але ми не будемо розбирати їх усіх в рамках цієї статті. Головне, що потрібно мати на увазі, що такі системи вже існують і дозволяють адміністратору сконфігурувати пристрої користувача адекватно існуючої моделі загроз.

Модель загроз

Перш ніж вибирати інструменти захисту, потрібно зрозуміти від чого ми захищаємося, що найстрашніше може трапитися в нашому конкретному випадку. Умовно кажучи: наше тулуб легко вразливе для кулі і навіть для вилки з цвяхом, але ми ж не надягаємо бронежилет при виході з дому. Тому в нашу модель загроз не входить небезпека бути застреленим по дорозі на роботу, хоча статистично це не так вже й неймовірно. При цьому в певних умовах носіння бронежилета цілком виправдане.

У різних компаніях моделі загроз розрізняються. Візьмемо, припустимо, смартфон кур'єра, який їде доставляти посилку клієнту. У його смартфоні є тільки адреса поточної доставки і маршрут на карті. Найстрашніше, що може трапиться з його даними, це витік адрес доставки посилок.

А ось смартфон бухгалтера. У нього є доступ в корпоративну мережу через VPN, встановлено додаток корпоративного клієнт-банку, зберігаються документи з цінною інформацією. Очевидно, що цінність даних на цих двох пристроях значно розрізняється і захищати їх слід по-різному.

Антивірус нас врятує?

На жаль, за маркетинговими слоганами втрачається реальний сенс завдань, які виконує антивірус на мобільному пристрої. Спробуємо розібратися детально, що робить антивірус на телефоні.

Аудит безпеки

Більшість сучасних мобільних антивірусів виконує аудит налаштувань безпеки на пристрої. Іноді такий аудит називають «перевіркою репутації пристрою». Антивіруси вважають пристрій безпечним, якщо виконуються чотири умови:

• Пристрій не зламано (root, jailbreak).
• На пристрої налаштований пароль.
• На пристрої не дозволено зневаджування за USB.
• На пристрої не дозволено встановлення додатків з недовірених джерел (sideloading).

Якщо в результаті перевірки пристрій визнано небезпечним, антивірус повідомить про це власника і запропонує відключити «небезпечний» функціонал або повернути заводську прошивку в разі наявності ознак root або jailbreak.

За корпоративними звичаями недостатньо тільки повідомити користувача. Необхідно виключити небезпечні конфігурації. Для цього за допомогою UEM-системи потрібно налаштувати на мобільних пристроях політики безпеки. А в разі виявлення root/jailbreak треба стрімко видаляти з пристрою корпоративні дані і блокувати його доступ в корпоративну мережу. І це теж можливо за допомогою UEM. І тільки після цих процедур можна вважати мобільний пристрій безпечним.

Пошук і вилучення вірусів

Всупереч розхожій думці, що для iOS не існує вірусів, це неправда. У дикій природі досі поширені експлойти для старих версій iOS, які заражають пристрої через експлуатацію вразливостей у браузері. При цьому, через архітектуру iOS, розробка антивірусів для цієї платформи неможлива. Основна причина - програми не можуть отримати доступ до списку встановлених програм і мають багато обмежень при доступі до файлів. Список встановлених iOS-програм може отримати тільки UEM, але навіть UEM не може отримати доступ до файлів.

З Android ситуація інша. Програми можуть отримати інформацію про встановлені на пристрої програми. Вони можуть навіть отримати доступ до їх дистрибутивів (наприклад, Apk Extractor і його аналоги). Android-програми також мають можливість доступу до файлів (наприклад, Total Commander та ін.). Android-програми можливо декомпілювати.

З такими можливостями логічним виглядає такий антивірусний алгоритм:

• Перевірка програм
• Отримати список встановлених програм і контрольні суми (КС) їх дистрибутивів.
• Перевірити програми і їх КС спочатку в локальній, а потім у глобальній базі.
• Якщо програма невідома, передати її дистрибутив у глобальну базу для аналізу і декомпіляції.
• Перевірка файлів, пошук вірусних сигнатур
• Перевірити КС у локальній, потім у глобальній базі.
• Перевірити наявність у файлах небезпечного вмісту (скриптів, експлоїтів тощо) за локальною, а потім глобальною базою.
• Якщо виявлено malware, повідомити користувача і/або заблокувати доступ користувача до malware і/або передати інформацію в UEM. Передавати інформацію в UEM необхідно, тому що антивірус не може самостійно видалити malware з пристрою.

Найбільше побоювань викликає можливість передачі дистрибутивів програм з пристрою на зовнішній сервер. Без цього не можна реалізувати заявлюваний виробниками антивірусів «поведінковий аналіз», оскільки на пристрої не можна запустити додаток в окремій «пісочниці» або зробити його декомпіляцію (наскільки вона ефективна при використанні обфускації - це окреме складне питання). З іншого боку, на мобільних пристроях співробітників можуть бути встановлені корпоративні програми, які невідомі антивірусу, тому що їх немає в Google Play. У цих мобільних додатках можуть міститися чутливі дані, через які ці додатки не розміщують в публічному магазині. Передача таких дистрибутивів виробнику антивірусу є некоректною з точки зору безпеки. Має сенс додавати їх у винятки, але про наявність подібного механізму поки мені невідомо.

Malware без привілеїв root може

1. Намалювати поверх програми своє невидиме вікно або впровадити свою клавіатуру, щоб копіювати введені користувачем дані - параметри облікових записів, банківських карток тощо. Недавній приклад - вразливість CVE-2020-0096, за допомогою якої можливо підмінити активний екран програми і тим самим отримати доступ до даних, що вводяться користувачем. Для користувача це означає можливість крадіжки облікового запису Google з доступом до резервної копії пристрою і даних банківських карток. Для організації в свою чергу важливо не втратити свої дані. Якщо дані знаходяться в приватній пам'яті програми і не містяться в резервній копії Google, то malware не зможе отримати до них доступ.

2. Отримати доступ до даних у публічних каталогах - завантаження, документи, галерея. У цих каталогах не рекомендується зберігати інформацію, що має цінність для компанії, тому що до них може отримати доступ будь-який додаток. Та й сам користувач завжди зможе поділитися конфіденційним документом за допомогою будь-якого доступного додатку.

3. Набридати користувачеві рекламою, майнити біткоїни, бути частиною ботнету тощо. Це може негативно позначитися на працездатності користувача і/або пристрою, але не стане загрозою для корпоративних даних.

Malware з привілеями root потенційно можуть все, що завгодно. Зустрічаються вони рідко, тому що злом сучасних Android-пристроїв за допомогою програми практично неможливий. Останній раз подібна вразливість була виявлена в 2016 році. Це гучний Dirty COW, якому був присвоєний номер CVE-2016-5195. Ключове тут те, що при виявленні ознак злому UEM клієнт зітре всю корпоративну інформацію з пристрою, тому ймовірність успішної крадіжки даних за допомогою таких malware в корпоративному світі невисока.

Шкідливі файли можуть завдавати шкоди як мобільному пристрою, так і корпоративним системам, до яких він має доступ. Розберемо ці сценарії докладніше.

Шкоди мобільному пристрою можна завдати, наприклад, якщо завантажити на нього картинку, яка при відкритті або при спробі установки шпалер перетворить пристрій на «цеглу» або перезавантажить його. Швидше за все це зашкодить пристрою або користувачеві, але не позначиться на конфіденційності даних. Хоча бувають і винятки.

Нещодавно обговорювалася вразливість CVE-2020-8899. Стверджувалося, що з її допомогою можна отримати доступ до консолі мобільних пристроїв Samsung за допомогою зараженої картинки, надісланої електронною поштою, месенджером або MMS. Хоча доступ до консолі означає можливість доступу тільки до даних в публічних каталогах, де конфіденційної інформації бути не повинно, конфіденційність особистих даних користувачів опиняється під загрозою, і це налякало користувачів. Хоча за фактом, атакувати пристрої можливо тільки за допомогою MMS. А для успішної атаки потрібно відправити від 75 до 450 (!) повідомлень. Антивірус тут, на жаль, не допоможе, тому що не має доступу до журналу повідомлень. Щоб захиститися від цього, є тільки два варіанти. Оновити ОС або заблокувати MMS. Першого варіанту можна довго чекати і не дочекатися, оскільки виробники пристроїв випускають оновлення не для всіх пристроїв. Вимкнути прийом MMS у цьому випадку набагато простіше.

Шкода корпоративним системам можуть завдати файли, які передаються з мобільних пристроїв. Наприклад, на мобільному пристрої є заражений файл, який не може заподіяти шкоди пристрою, але може заразити Windows-комп'ютер. Користувач надсилає такий файл електронною поштою своєму колезі. Той відкриває його на ПК і, тим самим, може його заразити. Але на шляху цього вектора атаки стоять принаймні два антивіруси - один на сервері електронної пошти, інший на ПК одержувача. Додавання в цей ланцюжок третього антивірусу на мобільному пристрої здається зовсім вже параною.

Як видно, найбільшу загрозу в корпоративному цифровому світі представляють malware без привілеїв root. Звідки вони можуть взятися на мобільному пристрої?

Найчастіше їх встановлюють за допомогою sideloading, adb або сторонніх магазинів, які повинні бути заборонені на мобільних пристроях з доступом в корпоративну мережу. Залишається два варіанти потрапляння malware - з Google Play або з UEM.

Перед публікацією в Google Play всі додатки проходять обов'язкову перевірку. Але для додатків з невеликим числом установок перевірки найчастіше виконуються без участі людей, тільки в автоматичному режимі. Тому іноді в Google Play потрапляє malware, але все-таки не часто. Антивірус, чиї бази своєчасно оновлюються, зможе виявити програми з malware на пристрої раніше Google Play Protect, який поки відстає за швидкістю оновлення антивірусних баз.

UEM може поставити на мобільний пристрій будь-який додаток, в т. ч. malware, тому будь-який додаток потрібно попередньо перевіряти. Додатки можна перевіряти як у процесі їх розробки за допомогою засобів статичного та динамічного аналізу, так і безпосередньо перед їх розповсюдженням за допомогою спеціалізованих «пісочниць» та/або антивірусних рішень. Важливо, що при цьому програма перевіряється одноразово перед завантаженням в UEM. Отже, і в цьому випадку антивірус на мобільному пристрої не потрібен.

Мережевий захист

У складі мережевого захисту залежно від виробника антивірусу може пропонуватися одна або кілька з наступних функцій.

URL-фільтрація застосовується з метою:

• Блокування трафіку за категоріями ресурсів. Наприклад, щоб заборонити дивитися новини або інший некорпоративний контент до обіду, коли співробітник найбільш ефективний. На практиці блокування найчастіше працює з безліччю обмежень - виробникам антивірусів не завжди вдається своєчасно актуалізувати довідники категорій ресурсів з урахуванням наявності безлічі «дзеркал». Плюс є анонімайзери і Opera VPN, на які блокування найчастіше не поширюється.
• Захисту від фішингу або підміни цільових хостів. Для цього URL, до яких звертається пристрій, попередньо перевіряються за антивірусною базою. Посилання, а також ресурси, до яких вони ведуть (включаючи можливі множинні редиректи), перевіряються за базою відомих фішингових сайтів. Також здійснюється звірка доменного імені, сертифіката та IP-адреси між мобільним пристроєм і довіреним сервером. Якщо клієнт і сервер отримують різні дані, то це або MITM («людина посередині», man in the middle), або блокування трафіку за допомогою того ж антивірусу або різного роду proxy і веб-фільтрів в мережі, до якої підключено мобільний пристрій. Впевнено сказати, що посередині хтось є, складно.

Щоб отримати доступ до мобільного трафіку, антивірус або будує VPN, або використовує можливості Accessibility API (API для програм, призначених для людей з обмеженими можливостями). Одночасна робота декількох VPN на мобільному пристрої неможлива, тому мережевий захист від антивірусів, які будують власний VPN, в корпоративному світі непримінний. VPN від антивірусу просто не буде працювати разом з корпоративним VPN, який використовують для доступу в корпоративну мережу.

Надання антивірусу доступу до Accessibility API таїть іншу небезпеку. Доступ до Accessibility API фактично означає дозвіл робити за користувача що завгодно - бачити те, що бачить користувач, виконувати дії з додатками замість користувача тощо. З урахуванням того, що користувач повинен явно надати антивірусу такий доступ, він швидше за все відмовиться це робити. Або, якщо його змусять, купить собі ще один телефон без антивірусу.

Міжмережеве екранування

Під цією загальною назвою ховаються три функції:

• Збір статистики щодо використання мережі з поділом за додатками та типом мережі (Wi-Fi, стільниковий оператор). Більшість виробників Android-пристроїв надають ці дані в додатку «Налаштування». Дублювання її в інтерфейсі мобільного антивірусу здається надлишковим. Інтерес може становити сукупна інформація по всіх пристроях. Її успішно збирають і аналізують UEM системи.
• Обмеження мобільного трафіку - налаштування ліміту, оповіщення при його досягненні. Користувачам більшості Android-пристроїв ці функції доступні в додатку «Налаштування». Централізоване налаштування обмежень - завдання UEM, а не антивірусу.
• Власне, міжмережеве екранування (firewall). Або, інакше, блокування доступу до певних IP-адрес і портів. З урахуванням DDNS на всіх популярних ресурсах і необхідності включення для цих цілей VPN, який, як написано вище, не може працювати спільно з основним VPN, функція здається непримінною в корпоративній практиці.

Перевірка довіреності Wi-Fi

Мобільні антивіруси можуть оцінювати безпеку Wi-Fi мереж, до яких підключається мобільний пристрій. Можна припустити, що перевіряється наявність і стійкість шифрування. При цьому всім сучасні програми використовують шифрування для передачі чутливих даних. Тому, якщо якась програма вразлива на канальному рівні, то її також небезпечно використовувати через будь-які інтернет-канали, а не тільки через публічний Wi-Fi.

Тому публічний Wi-Fi, в тому числі без шифрування, не більш небезпечний і не менш безпечний ніж будь-які інші недовірені канали передачі даних без шифрування.

Захист від спаму

Захист, як правило, зводиться до фільтрації вхідних дзвінків за списком, вказаним користувачем, або за базою відомих спамерів, що нескінченно набридають страховками, кредитами і запрошеннями в театр. Хоч у самоізоляції вони і не дзвонять, але скоро знову почнуть. Фільтр містить лише дзвінки. Повідомлення на актуальних Android не фільтруються. З урахуванням регулярної зміни спамерами своїх номерів, неможливості захисту текстових каналів (SMS, месенджери) функціональність носить швидше маркетинговий, а не практичний характер.

Антикрадіжка

Виконання віддалених дій з мобільним пристроєм під час втрати або крадіжки. Альтернатива сервісам Find My iPhone і Find My Device від Apple і Google відповідно. На відміну від своїх аналогів сервіси виробників антивірусів не можуть надати блокування пристрою, якщо зловмисник встиг скинути його до заводських налаштувань. Але якщо цього ще не сталося, з пристроєм можна дистанційно зробити наступне:

• Заблокувати. Захист від недалекого злодія, тому що легко обходиться скиданням пристрою до заводських налаштувань через recovery.
• Дізнатися координати пристрою. Корисно, коли пристрій було втрачено нещодавно.
• Увімкнути гучний звуковий сигнал, щоб знайти пристрій, якщо на ньому увімкнено беззвучний режим.
• Скинути пристрій до заводських параметрів. Має сенс, коли користувач визнав пристрій безповоротно втраченим, але не хоче, щоб збережені на ньому дані були розголошені.
• Зробити фото. Сфотографувати зловмисника, якщо він тримає телефон у руках. Найбільш сумнівна функціональність - ймовірність того, що зловмисник милується в телефон при хорошому освітленні, невисока. А ось наявність на пристрої програми, який може непомітно керувати камерою смартфона, робити фотографії і відправляти їх собі на сервер, викликає обґрунтовану тривогу.

Віддалене виконання команд є базовим у будь-якій UEM системі. У них відсутнє хіба що віддалене фотографування. Це вірний шлях до того, щоб користувачі після кінця робочого дня виймали з телефонів акумулятори і клали їх у мішок Фарадея.

Функції антивора в мобільних антивірусах доступні тільки для Android. Для iOS такі дії може виконувати тільки UEM. UEM на iOS-пристрої може бути тільки один - це архітектурна особливість iOS.

Висновки

1. Ситуація, в якій користувач може встановити шкідливу програму на телефон, НЕПРИПУСТИМА.
2. Правильно налаштований UEM на корпоративному пристрої виключає потребу в антивірусі.
3. У разі використання 0-day вразливостей в операційній системі антивірус марний. Він може тільки вказати адміністратору, що пристрій вразливий.
4. Визначити - чи використовується вразливість, антивірус не може. Також, як і випустити оновлення для пристрою, для якого виробник вже не випускає оновлень безпеки. Від сили - це рік-два.
5. Якщо абстрагуватися від вимог регуляторів і маркетингу, то корпоративні мобільні антивіруси потрібні тільки на Android пристроях, де користувачам доступний Google Play і установка програм зі сторонніх джерел. В інших випадках ефективність використання антивірусів не більше ніж плацебо.