Обнаружена уязвимость, позволяющая проследить за кем угодно через камеру его смартфона

Параноикам дальше лучше не читать. Специалисты по кибербезопасности из компании Checkmarx опубликовали 20 ноября отчёт о найденной ими уязвимости в операционной системе Android. Они обнаружили, что путём достаточно простых действий, существует возможность получать фотографии, видео, звукозаписи и местоположение пользователя практически любого смартфона.

Android обладает богатым набором различных разрешений для приложений. По задумке создателей, эта система ограничения доступа к функциям смартфона должна обеспечить существенные затруднения для вредоносного ПО. Например, без разрешения использовать камеру — программы злоумышленников не смогут получить с неё новую картинку, а без разрешения записывать звук — не получат голос владельца.

На практике самое распространённое разрешение, требуемое приложениями — доступ к хранилищу — даёт злоумышленнику практически неограниченные возможности шпионить за владельцем смартфона. Даже не используя никакие уязвимости, любое приложение, которому позволено читать и записывать данные на встроенную память, может найти и украсть любой файл. Это могут быть конфиденциальные документы, диктофонные записи или снимки, а также видео.

Изучая метаданные фотографий, можно узнать место, где был сделан снимок (если запись геоданных принудительно не была отключена пользователем). А если проанализировать все фото в галерее, можно построить карту перемещений объекта слежки. Порой и этого достаточно для шантажа, атаки на жертву при помощи социальной инженерии либо же кражи финансовой информации. Однако, есть уязвимость, которая расширяет арсенал злоумышленника до невероятных границ.

Сотрудники компании Checkmarx нашли способ заставить камеру смартфона принудительно делать снимки или записывать видео. Оказалось, что для этого необходима определённая (неназванная в целях безопасности) последовательность действий и внутренних системных вызовов. Всё, что после этого остается злоумышленнику — скачать полученные в результате ролики и фотографии.

Это позволяет приложению не имеющему доступ к камере производить полноценный захват видео, звука (в форме аудиодорожки к видео), изображений окружающего смартфон пространства и отслеживать местоположение жертвы (как было описано выше — через геотеги фото). Чтобы проверить свои находки, в Checkmarx создали абсолютно безобидно выглядящее приложение «погода» и наглядно продемонстрировали его работу в видеоролике. Программа выполняет все свои основные функции — показывает текущие метеорологические сведения заданного места.

Однако, сразу после первого запуска, она устанавливает фоновое защищённое соединение с удалённым сервером злоумышленника и начинает ждать команды. Оно продолжает работать и после закрытия приложения. Есть два режима работы: обычный, когда камера смартфона открывается на экране, и скрытный, в котором камера будет включаться только если смартфон лежит «лицом вниз» или прижат к голове владельца (во время разговора).

В результате эксперимента со смартфона Google Pixel 2XL под управлением последней версии Android 9 были получены геоданные из всех снимков, а также фото и видео в режиме реального времени. Более того, специалисты по кибербезопасности продемонстрировали вполне реальный вариант шпионажа, когда человек разговаривает по телефону рядом с проектором, на который выводятся конфиденциальные данные. В момент разговора смартфон записывает видео, а после этого готовый файл злоумышленник благополучно сохраняет себе.

Информация об этой уязвимости была предоставлена компании Google, где после первичного анализа, она получила высокий приоритет и была зарегистрировали под кодом CVE-2019−2234. Checkmarx связались с ведущими производителями смартфонов, из которых, как минимум Samsung подтвердил, что его устройства подвержены данной уязвимости. Недавняя публикация была согласована с Google и корейской компанией, что может означать скорый выпуск исправленных версий программного обеспечения. Однако стоит учитывать, что сроки появления «заплаток» до сих пор не обозначены.

Комментарии: 9
Ваш комментарий

Про это было известно, как только появились телефоны с камерами, мало того сами компании постоянно снимают информацию с камер, а также геолокацию и контакты.

10

Jivaga Скорее спалили дырку в ПО и заработают на этом. MAXHARDMAN Компании хотя бы дают информацию что это делают, в договорах(которые само собой не кто не читает), а тут даже узнать нет возможности что следят. Multiplatformer А он и не против.

3

Всегда умиляли люди которые заклеивают камеры на ноутах и ноют про излучения от компьютера при этом таскают с собой смарты даже в сортир. То, что смарты постоянно исследуют на потенциальный источник рака, и в них напихано куча телемитрирующих датчиков проходит мимо ихнего сознания

3

Можем не боятся скоро встроенную камеру заменят на российскую и завами не кто не проследит кроме фсб

1

Если нужно специально за кем то следить то это муторно эту программу надо попросить поставить или принудить каким то образом поставить, а просто так за всеми следить и выискивать конкретную жертву это ещё сложнее, пока мощностей не хватает для таких объёмов данных, которые с каждым годом увеличиваются в разы.

0

Уу, это значит кто-то может знать, каким непотребством я занимаюсь? А можно его попросить выложить где-то, может быть в каких-то кругах стану популярен LULW

0

Телефон на андроиде - это же трешак

-2