Специалисты Bluebox обнаружили в Android уязвимость, которая позволяет хакеру модифицировать код APK-файла (установочного файла). Данный код  превратит в троян любое подлинное приложение, причем это не сможет заметить ни пользователь, ни мобильное устройство, ни администраторы каталога, куда это приложение будет загружено.

Все Android-приложения в своём  содержании имеют криптографические подписи, с помощью которых система определяет подлинность устанавливаемого приложения. Однако в различных приложениях данная проверка выполняется по-разному. Это и служит основой уязвимости. С  ее помощью хакер может модифицировать приложение без нарушения криптографической подписи.

Уязвимость предназначена для различных целей: от кражи данных до создания мобильного ботнета и проникновения в корпоративную систему предприятия. Для ее использования злоумышленнику сначала требуется обмануть пользователя, чтобы тот установил вредоносное обновление программы. При этом хакер, теоретически, может получить контроль над всем устройством, если файл, использующий уязвимость, будет установлен как системное обновление от производителя.

Уязвимость содержится во всех версиях Android, начиная с Android 1.6 под кодовым именем Donut, и, таким образом, затрагивает около 900 млн устройств, проданных к сегодняшнему дню.