Компания по кибербезопасности Bitdefender раскрыла 5 ноября уязвимость GhostMap, из-за которой специально подготовленное Android-приложение может запустить непрерывный цикл системных сбоев сразу после установки. Открывать приложение или выдавать ему разрешения не требуется — демонстрационный APK исследователей вообще не содержал исполняемого кода.
Уязвимость находится в базовом коде Android. Bitdefender проверила версии от Android 10 до Android 17, однако смартфоны разных производителей компания не тестировала. Подробную демонстрацию провели на Pixel 10 с Android 17 и обновлением безопасности от 5 августа 2026 года: примерно через секунду после установки начались повторяющиеся сбои, которые продолжились и в безопасном режиме.
APK — это установочный пакет Android-приложения, внутри которого файлы хранятся в структуре, похожей на ZIP-архив. GhostMap возникает из-за того, что две системные библиотеки по-разному обрабатывают указанные в пакете способ сжатия и размер файла. Специально сформированная запись проходит проверки, после чего Android отображает в память область больше фактического файла. Попытка прочитать данные за его границей аварийно завершает обратившийся к ним процесс.
Читайте также
Последствия зависят от того, какой компонент читает повреждённый файл. В демонстрации ресурс автоматически обрабатывал system_server — один из основных процессов Android. После сбоя он перезапускался, снова обращался к тому же ресурсу и снова падал. Help Net Security сообщает, что в одном замере исследователи зафиксировали 110 циклов при зависшей загрузочной анимации.
Обычная перезагрузка и безопасный режим проблему не устраняют, поскольку установленный файл остаётся на устройстве. Bitdefender назвала два способа восстановления: сброс до заводских настроек с удалением локальных данных либо удаление файла с компьютера через ADB, инструмент управления Android. Второй способ доступен, только если отладка по USB была включена заранее; команду также нужно успеть выполнить в коротком промежутке между сбоями.
Исследование началось 12 августа, когда найденный среди реальных вредоносных образцов банковский загрузчик стал ломать эмуляторы Bitdefender во время установки. Его упаковщик изменил структуру APK, но компания не нашла признаков того, что автор вредоноса сознательно пытался использовать GhostMap. Атак, в которых уязвимость применяли бы для вывода пользовательских смартфонов из строя, исследователи также не наблюдали.
Bitdefender сообщила об ошибке Google 20 августа и отправила расширенный отчёт 25 августа. По данным исследователей, Google не включила проблему в контур исправлений безопасности и передала её команде разработки для возможного учёта в будущей версии Android. На момент публикации исследования 5 ноября патча не было. BleepingComputer запросило у Google актуальный статус исправления, но к выходу его материала ответа не получило.
Для атаки пользователю всё же нужно установить подготовленный APK. Неясно, способен ли такой пакет пройти проверку Google Play или попасть на устройство через обновление уже установленного приложения. Пока уязвимость не исправлена, практическая защита — не устанавливать APK из неизвестных источников и хранить резервную копию данных, которые иначе останутся только на смартфоне. Стороннее защитное приложение может предупредить об угрозе, но не всегда способно отменить установку, которую пользователь уже подтвердил.
