До выхода патча, который должен устранить проблему уязвимости, HTC не рекомендует пользователям загружать приложения из непроверенных источников.

Во вторник в HTC, наконец-то, признали наличие уязвимости системы безопасности своих смартфонов, заявив, что компания готовит патч, который должен устранить проблему. «В ходе продолжающегося расследования мы выяснили, что само ПО HTC не является источником опасности для данных пользователя, нам удалось только обнаружить уязвимость, которую могут использовать злоумышленники», отметили представители HTC.

«После кратковременного тестирования патча нашими партнерами, всем владельцам смартфонов HTC будет дана возможность загрузить данный пакет», заявили в HTC. HTC заявила, что делает все возможное, что «в максимально сжатые сроки выпустить апдейт, который должен решить проблему с уязвимостью».

Патч устранит проблему с дырой в коде интерфейса HTC Sense, который представляет собой скин, добавляющий функционал базовой платформе Android. Причиной всех бед, свалившихся на голову тайваньской компании, является файл HTCLogger.apk, который собирает различные пользовательские данные. Оказывает, эти данные собираются для развития сервисов HTC, устранения возможных проблем и т.д.

Напомним, что на днях специалист в области информационной безопасности Тревор Экхарт обнаружил, что любое приложение с доступом к сети интернет может использовать HTCLogger.apk. Т.е. злоумышленник может создать зловредное приложение для доступа к лог-файлу, в котором хранятся данные пользователя, и получить все, что пожелает, от списка контактов и e-mail адресов до SMS. Экхарт заявил, что не исключает возможности дешифровки данных GPS (т.е. злоумышленник может узнать ваше местоположение).
Пока непонятно, как многих пользователей затронет проблема. На сегодня интерфейс HTC Sense используется на большой количестве моделей HTC, включая EVO, MyTouch, различные варианты Sensation и ThunderBolt.

В своем заявлении HTC особо заметили, что злоумышленнику необходимо создать вредоносное ПО для использования данной уязвимости, поэтому пользователям не следует загружать приложения из непроверенных источников до устранения проблемы. «На текущий момент к нам не поступали жалобы пользователей, пострадавших от рук злоумышленников, однако мы считаем себя обязанными предупредить наших покупателей о потенциальной опасности», заявили в HTC.

HTC также отметила, что «мошенники, разрабатывающие вредоносное ПО, нарушают гражданское и уголовное законодательство». Однако они забыли об одном факте: преступников вряд ли можно удержать от противозаконных действий такими угрозами. Согласно исследованию, проведенному в мае 2011 года количество вредоносного ПО для системы Android с лета 2010 году увеличилось на 400%. Эксперты в области безопасности предрекает двукратный рост количества Android-вирусов к концу 2011 года.
Два специалиста в области безопасности из Android Police протестировали дыру в безопасности HTC Sense и заявили о «огромном количестве собранных данных», отметив, что размер только размер текстового лог-файла на EVO 3Dсоставил 3,5 Мб.
Один из основателей Android Police Артем Руссаковский во вторник заявил, что пока не ясно, как скоро HTC удастся «заделать» дыру в безопасности.

«Я приветствую желание HTC максимально быстро устранить проблему, однако пока я вижу решение только в реализации какого-то типа аутентификации, сохранив возможность сбора данных, которые впоследствии могут быть использованы HTC и ее партнерами».

Он также заявил, что HTC так и не ответила на жалобы экспертов по безопасности относительно других сервисов своих Android-смартфонов, например, средство удаленного управления Android VNC server.