Aplikacje aparatu w telefonach Google i Samsung zostały narażone na poważne luki w zabezpieczeniach, które hakerzy mogą wykorzystać do szpiegowania setek milionów użytkowników. Dzięki luce hakerzy mogą używać telefonu ofiary do robienia zdjęć, nagrywania filmów, nagrywania rozmów głosowych, a nawet śledzenia lokalizacji użytkownika. Czy telefon jest nadal bezpieczny? Przyjdź do kręgu przyjaciół AI Xinzhiyuan, aby porozmawiać z celebrytami AI. Możesz być cały czas obserwowany, nie wiedząc, kto obserwuje.
Kamery zostały zmodernizowane z dodatku do telefonu do sposobu dokumentowania życia. W obliczu złotego lasu miłorzębu, pierwszego śniegu na gałęziach i gorącego garnka zbierającego się z przyjaciółmi, wszyscy wyciągamy telefony komórkowe, włączamy aparaty, aby robić zdjęcia lub nagrywać vlogi, które stały się dla nas kanałami do oglądania, nagrywaj i wyrażaj świat.
Ale jeśli aparat w telefonie został włączony, aby monitorować twoje życie, nawet nie zauważając, może to być współczesny świat Trumana.
Teraz to jeśli, istnieje niewielka możliwość, aby stać się rzeczywistością. Według doniesień medialnych zespół badawczy Checkmarx odkrył lukę w zabezpieczeniach telefonów z Androidem.Atakujący mogą ominąć uprawnienia Androida, uzyskując dostęp do przestrzeni dyskowej telefonu i mogą zdalnie sterować telefonem, aby zdalnie robić zdjęcia i nagrywać bez zgody użytkownika.Wideo, monitoruj rozmowy.
Czy zespół badawczy twierdzi, że istnieją luki, gdy istnieją luki? Czy to panika? Najpierw przyjrzyjmy się, co kryje się za zespołem badawczym firmy Checkmarx.
Checkmarx to izraelska firma zajmująca się zaawansowanymi technologiami i producent Checkmarx CxSuite, najbardziej znanego na świecie oprogramowania do skanowania kodów źródłowych. Checkmarx został nominowany jako lider w raporcie Gartner Magic Quadrant 2019 w zakresie testowania bezpieczeństwa aplikacji, zdobył nagrodę Infosec 2019 magazynu Cyber Defense w kategorii Lider rynku w dziedzinie bezpieczeństwa aplikacji i zdobył nagrodę Application Security Solution of the Year.
Zaawansowane badania nad lukami w oprogramowaniu firmy Amazon dotyczące Alexy, Tindera, LeapFrog LeapPad i innych produktów, przeprowadzone przez zespół badaczy bezpieczeństwa, zostały zgłoszone przez znane media, takie jak „Good Morning America", „Consumer Reports" i „Fortune", co przyciągnęło uwagę branży.
Tym razem zespół badawczy Checkmarx wykrył kilka luk w zabezpieczeniach aplikacji Google Camera (Google Camera) w telefonach Google Pixel 2XL i Pixel 3 z powodu problemów, które umożliwiają atakującym ominięcie uprawnień użytkownika. Ponadto aparat Samsunga również ma tę lukę.
Wcześniej zespół badawczy ujawnił również, że Alexa i Tinder firmy Amazon mają ten problem. Biorąc pod uwagę zasięg telefonów Google i Samsung, te luki mogą dotyczyć setek milionów użytkowników, a nawet im zagrażać.
Luka, nazwana CVE-2019-2234, umożliwia złośliwej aplikacji zdalne uzyskiwanie danych wejściowych z kamery, mikrofonu i danych lokalizacyjnych GPS. Konsekwencje możliwości wykonania tego są tak poważne, że projekt Android Open Source Project (AOSP) ma dedykowany zestaw uprawnień, których każda aplikacja musi zażądać i uzyskać pozwolenie od użytkownika, zanim będzie mogła włączyć takie operacje.
Naukowcy z Checkmarx stworzyli scenariusz ataku, który wykorzystywał samą aplikację Aparat Google, aby ominąć te uprawnienia. W tym celu stworzyli złośliwą aplikację, która wykorzystuje jedno z najczęściej żądanych uprawnień: dostęp do pamięci.
Uprawnienie, o które prosi szkodliwa aplikacja, to tylko „dostęp do pamięci". rób nowe zdjęcia i filmy do woli".
Złośliwa aplikacja po cichu inicjuje nagrywanie wideo z telefonu
Złośliwa aplikacja zdalnie rejestruje połączenia
W jaki sposób atakujący mogą wykorzystać luki w zabezpieczeniach aplikacji Aparat Google?
Checkmarx stworzył exploita sprawdzającego koncepcję (PoC), tworząc złośliwą aplikację. Jest to aplikacja pogodowa, która zawsze była popularna w sklepie Google Play. Oprócz podstawowych uprawnień dostępu do pamięci ta aplikacja nie wymaga żadnych specjalnych uprawnień. Aplikacja raczej nie zaalarmuje użytkownika, ponieważ wystarczy poprosić o tak proste, zwykłe pozwolenie. W końcu ludzie są przyzwyczajeni do kwestionowania niepotrzebnych, szerokich próśb o pozwolenie, a nie pojedynczego, wspólnego wniosku o pozwolenie.
Jednak ta aplikacja nie jest nieszkodliwa. Jest on podzielony na dwie części, aplikację kliencką działającą na smartfonie oraz serwer dowodzenia i kontroli, który łączy się z nią w celu wykonywania poleceń atakującego.
Po zainstalowaniu i uruchomieniu aplikacji tworzy trwałe połączenie z serwerem dowodzenia i kontroli, a następnie czeka na instrukcje. Zamknięcie aplikacji nie powoduje zamknięcia połączenia z serwerem.
Jakie polecenia może wysłać osoba atakująca i jakie działania mogą skutkować? Ta długa lista może przyprawić Cię o dreszcze:
Informacje zostały opublikowane wspólnie przez Google i Samsung w ostatnich dniach, aby zapewnić, że obie firmy udostępniły poprawki dla luki. Ujawnienie luki rozpoczęło się jednak 4 lipca, kiedy Checkmarx przesłał raport o luce do zespołu ds. bezpieczeństwa Androida firmy Google, który rozpoczął ujawnianie zakulisowe.
13 lipca Google początkowo ustawił poziom ważności luki na średni, ale po dalszych informacjach zwrotnych od firmy Checkmarx, 23 lipca poziom ważności został obniżony do „wysokiego".
1 sierpnia Google potwierdził, że luki dotyczyły szerszego ekosystemu Androida, a także innych producentów smartfonów, i wydał CVE-2019-2234.
18 sierpnia Google skontaktował się z wieloma dostawcami, a 29 sierpnia Samsung potwierdził, że luka dotyczy ich urządzeń.
Google odpowiada z dostarczoną poprawką, ekspert ds. Bezpieczeństwa: „To po prostu oszałamiająca"
Odpowiedź Google: Poprawka udostępniona wszystkim partnerom
Po skontaktowaniu się z mediami, rzecznik powiedział: „Jesteśmy wdzięczni firmie Checkmarx za powiadomienie nas o tej luce i współpracę z naszymi partnerami w Google i Android w celu skoordynowania ujawnienia. Aplikacja Aparat rozwiązała problem na telefonach Google, których dotyczy problem. Udostępniliśmy też poprawkę wszystkim partnerom".
Jednak ujawnienie luki zostało opóźnione do czasu opublikowania łatek zarówno przez Google, jak i Samsung, więc jeśli masz najnowszą wersję aplikacji aparatu, pamiętaj o aktualizacji do najnowszej wersji, aby uniknąć zagrożenia atakiem.
Zaktualizuj też system operacyjny Android do najnowszej wersji, upewnij się, że Twój telefon ma najnowsze dostępne poprawki zabezpieczeń i zalecamy korzystanie z najnowszej wersji aplikacji aparatu dla swojego urządzenia, aby zmniejszyć ryzyko.
Co eksperci ds. bezpieczeństwa mają do powiedzenia na temat wagi luki i tego, jak wpłynie ona na szersze bezpieczeństwo smartfonów.
Thornton-Trump powiedział: „Moja szczęka opadła, kiedy przeczytałem ten raport o tym, jak podatna jest aplikacja aparatu. Nie brzmi to jak błąd, ale bardziej jak wersja wysokopoziomowa z w pełni funkcjonalnym oprogramowaniem szpiegującym. Trwałe zagrożenie (APT) ".
W rzeczywistości Thornton-Trump zauważył, że gdyby badacze bezpieczeństwa byli czarnymi kapeluszami, mogliby z łatwością zarabiać na tych badaniach za setki tysięcy dolarów. „Dzięki doskonałej pracy i uczciwości naukowców z Checkmarx wszyscy użytkownicy Androida są teraz bezpieczniejsi" – powiedział.
Thornton-Trump był zadowolony, że Google opublikował wkrótce poprawkę, ale powiedział, że ze względu na wagę i zakres luki „nadszedł również czas, aby Google pozwoliło niektórym możliwościom „Project Zero" zagłębić się w sam system operacyjny Android ".
„Nie ma wątpliwości, że duża liczba ujawnionych luk w zabezpieczeniach Androida szkodzi marce Androida. Niedawny problem z „białym ekranem śmierci" również nie jest dobry dla reputacji firmy. Google musi zrobić więcej, aby zapewnić użytkownikom zaufanie do bezpieczeństwa i poufności urządzeń z Androidem W międzyczasie każdy, kto potrzebuje ochrony, powinien natychmiast zaktualizować swoje systemy" – powiedział. „Jeśli nie możesz zaktualizować swojego urządzenia, ponieważ się starzeje lub nie ma wsparcia producenta, nadszedł czas na nowe urządzenie".
