Грешка в сигурността на смартфоните с Android от компании като Google и Samsung позволи на злонамерените приложения да записват видео, да правят снимки и да заснемат аудио, като качват съдържанието на отдалечен сървър без разрешение на потребителя.
Уязвимостта е открита от охранителна фирма Checkmarx , и беше подчертано днес от Арс Техника . Недостатъкът имаше потенциала да остави високоценни цели отворени за незаконно записване на обкръжението им от техните смартфони.
Изображение чрез Checkmarx
Android има за цел да попречи на приложенията да имат достъп до камерата и микрофона на смартфон без разрешение на потребителя, но с този конкретен експлойт едно приложение може да използва камерата и микрофона за заснемане на видео и аудио без изричното съгласие на потребителя. Всичко, което трябваше да направи, беше да получи разрешение за достъп до хранилището на устройството, което обикновено се предоставя, тъй като повечето приложения искат това.
За да демонстрира как работи недостатъкът, Checkmarx създаде приложение за доказателство на концепцията, което изглеждаше като приложение за времето на повърхността, но събираше обилни количества данни на заден план.
Приложението можеше да прави снимки и да записва видеоклипове дори когато екранът на телефона е изключен или приложението е затворено, както и да получава достъп до данни за местоположение от снимките. Можеше да работи в стелт режим, елиминирайки звука на затвора на камерата, а също така можеше да записва двупосочни телефонни разговори. Всички данни бяха в състояние да бъдат качени на отдалечен сървър.
Когато се използва експлойта, екранът на атакувания смартфон ще покаже камерата при запис на видео или снимка, което ще позволи на засегнатите потребители да разберат какво се случва. Можеше да се използва тайно, когато дисплеят на смартфона беше извън полезрението или когато устройството беше поставено надолу, и имаше функция за използване на сензора за близост, за да се определи кога смартфонът е с лице надолу.
Google адресира уязвимостта в своите телефони Pixel чрез актуализация на камерата, която беше пусната през юли, а Samsung също отстрани уязвимостта, макар че не е известно кога. От Google:
„Оценяваме, че Checkmarx довежда това до нашето внимание и работи с партньорите на Google и Android за координиране на разкриването. Проблемът беше адресиран на засегнатите устройства на Google чрез актуализация на Play Store на приложението Google Camera през юли 2019 г. На всички партньори беше предоставена и корекция.“
От Samsung:
„Тъй като бяхме уведомени за този проблем от Google, впоследствие пуснахме пачове, за да се справим с всички модели устройства на Samsung, които може да бъдат засегнати. Оценяваме партньорството си с екипа на Android, който ни позволи да идентифицираме и адресираме този въпрос директно.“
Според Checkmarx, Google каза, че телефоните с Android от други производители също могат да бъдат уязвими, така че все още може да има някои устройства, които са отворени за атака. Google не разкрива конкретни производители и модели.
Тъй като това е грешка в Android, iOS устройствата на Apple не са засегнати от грешката в сигурността.
Не е известно защо приложенията са имали достъп до камерата без разрешение на потребителя. В имейл до Арс Техника , Checkmarx предположи, че това може да бъде свързано с решението на Google да накара камерата да работи с Google Assistant, функция, която други производители също може да са внедрили.
Етикети: Samsung , Google , exploit , Android
Популярни Публикации