Хакната ли е Google Камера? Различни скорошни доклади и разследвания разкриха значителни уязвимости в приложението за камера от Google и други производители на устройства с Android, като например Samsung. Тези уязвимости позволяват на злонамерени приложения записвайте видеоклипове, правете снимки и шпионирайте разговори без знанието на потребителя или даването на изрично разрешение, което потенциално може да повлияе стотици милиони устройства с Android в световен мащаб.
Какво представлява уязвимостта CVE-2019-2234 и как тя засяга потребителите на Android?
Уязвимост CVE-2019 2234- Той беше идентифициран предимно от екипа на Checkmarx, една от водещите световни фирми за сигурност на приложенията. Беше открито, че чрез манипулиране на определени действия и намерения, приложение без разрешения за камера може да доведе до това официалното приложение за камера на устройството правете снимки и записвайте видеоклипове тайно. Освен това беше възможно запис на аудио, достъп до съхранени медийни файлове (като например снимки и видеоклипове на microSD картата) и събиране на вградени GPS метаданни за да се локализира потребителят.
Най-тревожното е, че за да се възползват от тази уязвимост, изискваше се само разрешение за съхранение, един от най-често срещаните и най-малко подозрителни, които потребителите предоставят на приложенията. По този начин, едно просто, на пръв поглед безобидно приложение, като например приложение за времето, би могло да започне шпиониране на личния живот на потребителя дистанционно.
Как са били извършени атаките и какво е могъл да направи нападателят?
За да демонстрират обхвата на заплахата, изследователите по сигурността разработиха доказване на концепцията (PoC), което се състоеше от привидно нормално приложение за времето. Когато е инсталиран, той е установил постоянна връзка със сървър командване и контрол (C&C), което ви позволява да получавате инструкции и да записвате или улавяте заповеди по всяко време, дори ако приложението е било затворено.
Нападателят би могъл:
- Записвайте видеоклипове и правете снимки без да уведоми потребителя, дори и с екранът е изключен или заключен.
- Записване на разговори по време на телефонни разговори, получаване на звук от двете страни.
- Възстановете всички снимки, видеоклипове и аудио файлове съхраняват се в паметта и се изпращат към отдалечения сървър.
- Екстракт GPS метаданни от снимки и видеоклипове, за да се локализира жертвата на картата.
- Работете в скрит режим, елиминирайки звуци като затвора на камерата и избягвайки предупреждения.
Всичко това се случи, без да буди подозрения, тъй като приложението изискваше само разрешения за съхранение и можеше да остане във фонов режим за неопределено време.
Уязвимост на Android: Записване на видеоклипове и достъп до лична информация без съгласие
Случаят излезе наяве, когато първоначално изглеждаше, че засегнатите устройства са ограничени до два модела на Google: Pixel 2 XL и Pixel 3. По-нататъшното разследване и отговорът на Google обаче потвърдиха, че Грешката засегна множество устройства с Android, включително Samsung и устройства на други производители., много от тях с предварително инсталирани приложения за камерата.
Особено тревожна характеристика на уязвимостта беше способността ѝ да заобикаляне на системите за разрешения на Android. Въпреки че политиката за сигурност на Android се основава на изрични разрешения, грешката позволи на злонамерени приложения да заобиколят тези бариери, получавайки пълен достъп до камерата, микрофона и паметта с привидно легитимни действия.
Освен това беше показано, че:
- El Атаката работеше дори при изключен екран или със заключен телефон.
- Беше възможно да започне видеозапис по време на гласово повикване без знанието на жертвата.
- Външното хранилище (microSD карта) беше особено уязвимо, тъй като приложенията можеха лесно да копират и извличат видеоклипове и снимки.
Начин на действие: привидно безобидни приложения и изтичане на данни
За да се възползват от тази уязвимост, кибератаките са разчитали на разработването на привидно безобидни приложения (като например метеорологични джаджи, фенерчета или инструменти за продуктивност), които успяха да останат незабелязани в Google Play Store или алтернативни канали.
Потребителят е инсталирал приложението, неподозиращо е предоставил разрешение за съхранение и без да го осъзнава, устройството му е било наблюдавано дистанционно. Нападателят може да поеме контрол чрез мрежови заявки и да извърши целенасочени или планирани шпионски действия.
Изтичането на данни беше тотално. Видео, аудио и графични записи бяха автоматично качени на външни командни сървъри. Освен това, медийните файлове бяха анализирани за проследяване на местоположението с помощта на метаданни. Всичко това беше направено в стелт режим, без потребителят да знае; Дори звукът от затвора на камерата не предупреди никого, че се извършва запис.
Реалното въздействие: Стотици милиони Android устройства са изложени на риск
Обхватът на тази уязвимост се оказа огромен.. Смята се, че стотици милиони потребители на Android са били потенциално разкрити, тъй като пробивът в сигурността не се е ограничил до няколко модела, а е засегнал голям брой устройства с предварително инсталирано приложение за камера както от Google, така и от Samsung и други производители.
Някои от факторите, които утежниха ситуацията, бяха:
- La разнообразие от приложения за камера, много от които присъстват във всички гами терминали: от икономични модели до най-модерните.
- El разрешение за широко използване на съхранение поискано от голям брой приложения, което улесни използването на недостатъка.
- La трудност при разкриване на шпионаж, което може да се случи в продължение на седмици или месеци, без потребителят да намери никакви доказателства.
Това накара общността по сигурност и международните медии да класифицират тази уязвимост като една от най-сериозните в най-новата история на операционната система Android.
Как е била отстранена уязвимостта и какво са направили производителите
След като уязвимостта беше докладвана на Google и Samsung, тези производители продължиха проучване и издаване на актуализации за сигурност за засегнатите приложения и устройства с камера. Google разпространи корекцията чрез Актуализация на приложението Google Камера и също така съобщиха риска на партньори и производители на устройства с Android, за да могат да внедрят подходящи корекции в своите каталози.
Samsung, от своя страна, потвърди съществуването на недостатъка и пусна корекции за всички засегнати устройства, въпреки че скоростта на разпространение зависеше от всеки модел и регион.
Важно е да се отбележи, че цикълът на актуализации на Android може да бъде нередовен, особено при устройства от нисък клас или по-стари модели. Следователно, най-важната препоръка за потребителите е Поддържайте приложенията и операционната си система за Android винаги актуални и периодично проверявайте за предстоящи корекции за сигурност.
Връзка между уязвимостта CVE-2019-2234 и други уязвимости в сигурността на Android
Уязвимостта CVE-2019-2234 е един от най-скорошните примери, но не и единственият, при който приложенията за Android са уязвими към видео, аудио, екран или лични данни, заснети без съгласие.
Например, други изследвания показват, че е възможно да се извършват атаки на скрийнджекинг o кликджек, които се възползват от услуги като MediaProjection (въведено в Android 5.0) за запис на екран или аудио чрез наслагване на фалшиви прозорци върху легитимни. По този начин потребителят може да бъде подмамен да предостави неволно разрешения, което улеснява злоупотребата с тях от страна на банков злонамерен софтуер или рансъмуер.
В други случаи липсата на ясни механизми за оторизация води до приложения без изрично разрешение могат да заснемат изображения, видеоклипове или звуци. Въпреки че в съвременните версии на Android са внедрени подобрения, фрагментираната екосистема и бавните актуализации все още излагат много устройства на потенциален риск.
Какво е скрийнджекинг и как се свързва със тайното записване?
El скрийнджекинг Това включва използването на фалшиви екрани или бутони, насложени върху интерфейса, за да се подведе потребителят неволно да предостави чувствителни разрешения. След като бъде получено, злонамереното приложение може екран за запис, записвайте натискания на клавиши, активирайте камерата или микрофона и заснемайте цялата визуална и слухова информация от потребителя.
Тази техника, произлизаща от clickjacking, е особено опасна, защото без ясно уведомление за определени разрешения, много потребители могат да предадат контрола върху поверителността си на приложения, които изглеждат надеждни, но всъщност са злонамерени.
Най-добрата защита е внимателно прегледайте разрешенията които приложенията изискват, преди да ги инсталират, и избягвайте, доколкото е възможно, инсталирането на приложения от неизвестни източници извън Google Play Store.
Приложения, които ви позволяват тайно да записвате видеоклипове: законни приложения и рискове
В допълнение към уязвимостите, има многобройни легитимни приложения в Google Play Store чиято основна функция е записване на видеоклипове с изключен екран или на заден план. Тези приложения могат да имат професионални или охранителни цели, но могат да бъдат използвани и за неетични цели.
- Запис на видео на заден план: Позволява ви да записвате видео във фонов режим, използвайки уиджет, известие или изскачащ прозорец, дори когато екранът е изключен или приложението е минимизирано. Включва таймер, избор на камера и сигурно съхранение, за да се предотврати презаписването на файлове.
- Запис на видео фон: Лесен за използване, може да записва във фонов режим и да запазва видеоклипове в защитени папки. Полезно е заради дискретността си, въпреки че може да има грешки в дългите записи.
- Таен видеорекордер: Проектиран за дискретен запис във фонов режим. Важно е да проверите законността на използването на тези видове приложения във вашата страна.
- КамераBR: Улеснява записването на клипове без предварителен преглед, позволявайки действия с помощта на бутоните за сила на звука, идеално за запис без взаимодействие с екрана.
- Screen Recorder – AZ Recorder: Специализиран в запис на екран със скрити опции за запис, подобрено качество и функции за редактиране.
Въпреки че тези приложения могат да бъдат полезни за записване на срещи, занятия или доказателства за инциденти, използването им трябва да бъде винаги уважавайте поверителността и действащото законодателство. Записването на хора без тяхното съгласие може да бъде престъпление в много страни.
Съвети за сигурност и най-добри практики за защита на вашата поверителност
В условията на множество заплахи и уязвимости е от съществено значение потребителите да приемат предпазни мерки За да защитите поверителността си и да намалите риска от шпиониране на вашите Android устройства:
- Поддържайте вашата операционна система и приложения актуализирани. Винаги инсталирайте най-новите налични актуализации както за Android, така и за предварително инсталираните приложения, особено приложението за камера.
- Внимателно прегледайте разрешенията които предоставяте на всяко заявление. Бъдете внимателни с приложения, които изискват прекомерни разрешения или разрешения, несъвместими с основната им функция.
- Избягвайте да инсталирате APK файлове от неофициални източници. Придържайте се към Google Play Store или доверени магазини и винаги проверявайте оценките и отзивите на други потребители.
- Използвайте решения за сигурност като Bitdefender или друг специализиран антивирус за Android, който може да открива аномално поведение в приложенията.
- Периодично проверявайте инсталираните приложения и изтрийте тези, които не разпознавате или вече не използвате.
Ако имате някакви съмнения относно подозрително приложение, проверете списъка с разрешения от настройките на телефона ви и при най-малкото съмнение премахнете разрешенията или деинсталирайте приложението.
Уязвимостите в Android, свързани със секретно видеозаписване, предизвикаха опасения в цялата общност, но продължаващите усилия на изследователите и пуснатите от производителите корекции помогнаха за смекчаване на риска. Ключът е потребителите да останат бдителни, да актуализират устройствата си и да следят отблизо разрешенията и поведението на инсталираните приложения. Само с тези мерки можем да гарантираме по-голяма защита срещу бъдещи нарушения на сигурността на нашите телефони с Android.