Смартфон может перестать загружаться из-за приложения, которое ни разу не запускали. Специалисты Bitdefender обнаружили в Android уязвимость GhostMap, позволяющую вызвать бесконечный цикл системных сбоев одним специально подготовленным APK-файлом. Программе не нужны разрешения, исполняемый код и действия после установки.
Причина скрывается в обработке установочных пакетов Android, которые устроены как ZIP-архивы. Системные библиотеки по-разному трактуют способ сжатия и заявленный размер файла. При определённой комбинации полей Android отображает в память область больше реального содержимого, а попытка прочитать отсутствующие данные завершает процесс с ошибкой SIGBUS.
Для демонстрации Bitdefender подготовила приложение с повреждённым ресурсом, который автоматически считывает системная служба. После установки аварийно завершался процесс system_server, отвечающий за ключевые функции Android. Система запускала процесс снова, вновь открывала тот же ресурс и снова падала. В результате смартфон застревал на экране загрузки.
Проверка на Google Pixel 10 с Android 17 и патчем безопасности от 5 августа 2026 года показала, что первый сбой наступает примерно через секунду после установки. За время одного теста специалисты зафиксировали 110 повторных сбоев, а в безопасном режиме ещё 72. По результатам испытаний GhostMap затрагивает версии Android начиная с десятой.
Обычная перезагрузка не устраняет причину, а безопасный режим тоже не спасает. Восстановить устройство может сброс до заводских настроек с потерей локальных данных. В отдельных случаях помогает удаление повреждённого файла через Android Debug Bridge (ADB), но USB-отладка должна быть включена заранее, а команды нужно выполнить до очередного сбоя.
Уязвимость обнаружили после анализа банковского загрузчика, полученного 12 августа. Вредоносный APK вызывал падение эмуляторов Bitdefender ещё при попытке установки, однако признаков намеренной эксплуатации ошибки не нашли. Бесконечный цикл загрузки специалисты воспроизвели позднее на собственном тестовом приложении. Подтверждённых атак с применением GhostMap нет.
Bitdefender направила Google первый отчёт 20 августа, но получила ответ об отсутствии воспроизводимой проблемы. Второе обращение от 25 августа включало рабочую демонстрацию. Google не признала находку основанием для выпуска исправления безопасности и передала материалы другой команде для возможного учёта в будущих версиях Android. Патча на 5 ноября нет.
Пока Google ужесточает установку приложений от непроверенных разработчиков, Bitdefender научила свой антивирус распознавать GhostMap. Однако сторонняя защита может лишь предупредить о файле, а не запретить его установку. Другие возможные последствия ошибки включают сбои экранов удаления приложений и сканеров APK. Таких атак пока не наблюдали.