Aplikasi kamera ponsel Google dan Samsung telah terkena kelemahan keamanan serius yang dapat digunakan oleh peretas untuk memata-matai ratusan juta pengguna. Melalui kerentanan, peretas dapat menggunakan ponsel korban untuk mengambil gambar, merekam video, merekam panggilan suara, dan bahkan melacak lokasi pengguna. Apakah ponsel masih aman? Datanglah ke lingkaran pertemanan Xinzhiyuan AI untuk berdiskusi dengan selebriti AI. Anda mungkin diawasi sepanjang waktu tanpa mengetahui siapa yang menonton.
Kamera telah ditingkatkan dari add-on ke telepon menjadi cara mendokumentasikan kehidupan. Menghadapi hutan ginkgo emas, salju pertama di dahan, dan hot pot berkumpul dengan teman-teman, kami semua mengeluarkan ponsel kami, menyalakan kamera untuk mengambil gambar atau merekam vlog, yang telah menjadi saluran untuk kami tonton, merekam dan mengekspresikan dunia.
Tetapi jika kamera ponsel Anda dihidupkan untuk memantau kehidupan Anda tanpa Anda sadari, ini mungkin Dunia Truman modern.
Sekarang ini jika, ada sedikit kemungkinan untuk menjadi kenyataan. Menurut laporan media, tim peneliti keamanan Checkmarx telah menemukan kerentanan di ponsel Android. Penyerang dapat melewati izin Android dengan mengakses ruang penyimpanan ponsel, dan dapat mengontrol ponsel dari jarak jauh untuk mengambil foto dan merekam dari jarak jauh tanpa persetujuan pengguna. Video, pantau percakapan.
Apakah tim peneliti benar-benar memiliki kerentanan ketika mereka mengatakan ada kerentanan? Apakah itu alarmis? Pertama, mari kita lihat apa yang ada di balik tim peneliti keamanan Checkmarx.
Checkmarx adalah perusahaan perangkat lunak berteknologi tinggi Israel dan produsen Checkmarx CxSuite, perangkat lunak pemindaian keamanan kode sumber paling terkenal di dunia. Checkmarx dinominasikan sebagai Pemimpin dalam Gartner Magic Quadrant 2019 untuk Pengujian Keamanan Aplikasi, memenangkan Penghargaan Infosec 2019 Majalah Cyber Defence dalam kategori Pemimpin Pasar dalam Keamanan Aplikasi, dan memenangkan penghargaan Solusi Keamanan Aplikasi Tahun Ini.
Penelitian kerentanan perangkat lunak mutakhir tim peneliti keamanannya pada Alexa, Tinder, LeapFrog LeapPad Amazon dan produk lainnya telah dilaporkan oleh media terkenal seperti "Good Morning America", "Consumer Reports" dan "Fortune", menarik perhatian industri.
Kali ini, tim peneliti keamanan Checkmarx menemukan beberapa kerentanan di aplikasi Google Kamera (Google Camera) di ponsel Google Pixel 2XL dan Pixel 3 karena masalah yang memungkinkan penyerang melewati izin pengguna. Selain itu, kamera Samsung juga memiliki kerentanan ini.
Sebelumnya, tim peneliti juga mengungkapkan bahwa Alexa dan Tinder Amazon memiliki masalah ini. Hanya dengan mempertimbangkan jangkauan ponsel Google dan Samsung, kerentanan ini dapat memengaruhi ratusan juta pengguna, atau bahkan mengancam mereka.
Kerentanan, dijuluki CVE-2019-2234, itu sendiri memungkinkan aplikasi jahat untuk mendapatkan input dari jarak jauh dari kamera, mikrofon, dan data lokasi GPS. Implikasi dari kemampuan untuk melakukan ini sangat parah sehingga Android Open Source Project (AOSP) memiliki serangkaian izin khusus yang harus diminta oleh aplikasi apa pun dan mendapatkan izin dari pengguna sebelum dapat mengaktifkan operasi tersebut.
Apa yang dilakukan para peneliti di Checkmarx adalah membuat skenario serangan yang menyalahgunakan aplikasi Google Camera itu sendiri untuk melewati izin ini. Untuk melakukan ini, mereka membuat aplikasi berbahaya yang mengeksploitasi salah satu izin yang paling sering diminta: akses penyimpanan.
Izin yang diminta oleh aplikasi jahat hanya 'akses penyimpanan'
"Aplikasi berbahaya yang berjalan di smartphone Android ini dapat membaca kartu SD," kata Yalon. "Ini tidak hanya dapat mengakses foto dan video sebelumnya, tetapi juga mengeksploitasi kaleng baru ini. ambil foto dan video baru sesuka hati."
Aplikasi berbahaya secara diam-diam memulai perekaman video telepon
Aplikasi berbahaya merekam panggilan dari jarak jauh
Bagaimana penyerang dapat mengeksploitasi kerentanan di aplikasi Google Kamera?
Checkmarx membuat eksploitasi proof-of-concept (PoC) dengan mengembangkan aplikasi berbahaya. Ini adalah aplikasi cuaca yang selalu populer di Google Play Store. Terlepas dari izin akses penyimpanan dasar, aplikasi ini tidak memerlukan izin khusus. Aplikasi ini tidak mungkin membuat pengguna khawatir, karena hanya izin biasa yang sederhana yang perlu diminta. Lagi pula, orang terbiasa mempertanyakan permintaan izin luas yang tidak perlu, bukan satu permintaan izin umum.
Namun, aplikasi ini jauh dari tidak berbahaya. Ini dibagi menjadi dua bagian, aplikasi klien yang berjalan di smartphone dan server perintah dan kontrol yang terhubung untuk menjalankan perintah penyerang.
Setelah aplikasi diinstal dan dimulai, itu membuat koneksi terus-menerus ke server perintah dan kontrol dan kemudian menunggu instruksi. Menutup aplikasi tidak menutup koneksi server.
Perintah apa yang dapat dikirim oleh penyerang, dan tindakan apa yang dapat dihasilkan? Daftar panjang ini mungkin membuat Anda bergidik:
Informasi tersebut dirilis bersama oleh Google dan Samsung dalam beberapa hari terakhir untuk memastikan bahwa kedua perusahaan telah merilis patch untuk kerentanan. Pengungkapan kerentanan, bagaimanapun, dimulai pada 4 Juli, ketika Checkmarx mengirimkan laporan kerentanan ke tim keamanan Android Google, yang memulai pengungkapan di balik layar.
Pada 13 Juli, Google awalnya menetapkan tingkat keparahan kerentanan menjadi sedang, tetapi setelah umpan balik lebih lanjut dari Checkmarx, tingkat keparahan diturunkan menjadi "tinggi" pada 23 Juli.
Pada 1 Agustus, Google mengkonfirmasi bahwa kerentanan mempengaruhi ekosistem Android yang lebih luas, dengan pembuat smartphone lain juga terpengaruh, dan mengeluarkan CVE-2019-2234.
Pada 18 Agustus, Google menghubungi beberapa vendor; pada 29 Agustus, Samsung mengonfirmasi bahwa kerentanan memengaruhi perangkat mereka.
Google merespons dengan tambalan yang disediakan, pakar keamanan: 'Ini benar-benar mengejutkan'
Tanggapan Google: Patch disediakan untuk semua mitra
Setelah dihubungi oleh media, seorang juru bicara mengatakan: "Kami berterima kasih kepada Checkmarx karena memperingatkan kami tentang kerentanan ini dan bekerja dengan mitra di Google dan Android untuk mengoordinasikan pengungkapan. Melalui rilis Google Play Store pada Juli 2019. Pembaruan untuk Kamera app telah menyelesaikan masalah pada ponsel Google yang terpengaruh. Kami juga telah membuat patch tersedia untuk semua mitra."
Namun, pengungkapan kerentanan tertunda hingga Google dan Samsung merilis patch, jadi jika Anda memiliki aplikasi kamera versi terbaru, pastikan untuk memperbarui ke versi terbaru untuk menghindari ancaman serangan.
Juga, perbarui ke versi terbaru dari sistem operasi Android, pastikan ponsel Anda memiliki patch keamanan terbaru yang tersedia, dan sarankan untuk menggunakan versi terbaru aplikasi kamera untuk perangkat Anda untuk mengurangi risiko.
Apa yang dikatakan pakar keamanan tentang tingkat keparahan kerentanan dan bagaimana hal itu akan memengaruhi keamanan ponsel cerdas yang lebih luas.
Thornton-Trump berkata: "Saya ternganga ketika membaca laporan ini tentang betapa rentannya aplikasi kamera. Ini tidak terdengar seperti bug, tetapi lebih seperti versi tingkat tinggi dengan spyware berfitur lengkap. Persistent Threat (APT)."
Faktanya, Thornton-Trump memperhatikan bahwa jika peneliti keamanan adalah topi hitam, mereka dapat dengan mudah menghasilkan uang dari penelitian ini untuk ratusan ribu dolar. "Berkat kerja luar biasa dan integritas para peneliti di Checkmarx, semua pengguna Android sekarang lebih aman," katanya.
Thornton-Trump senang bahwa Google segera merilis tambalan, tetapi mengatakan bahwa karena tingkat keparahan dan luasnya kerentanan, "ini juga saatnya bagi Google untuk membiarkan beberapa kemampuan 'Project Zero' masuk jauh ke dalam sistem operasi Android itu sendiri.."
"Tidak ada keraguan bahwa tingginya volume kerentanan Android yang diungkapkan merusak merek Android. Masalah 'layar putih kematian' baru-baru ini juga tidak baik untuk reputasi perusahaan. Google perlu berbuat lebih banyak untuk memastikan pengguna mempercayai keamanan dan kerahasiaan. perangkat Android Sementara itu, siapa pun yang membutuhkan perlindungan harus segera memperbarui sistem mereka," katanya. "Jika Anda tidak dapat memperbarui perangkat Anda karena sudah tua atau kurang dukungan produsen, saatnya untuk mendapatkan perangkat baru."
