Gazeta.ru на рабочем столе
для быстрого доступа
Установить
Не сейчас

Взломать Gmail c 92-процентной вероятностью

В США нашли беспроигрышный способ взлома приложений на iOS, Android и Windows

Уязвимость Android, Windows и iOS позволяет хакерам взламывать Gmail, Amazon и другие популярные приложения, замаскировав опасное приложение под безобидное, например игру или «обои».

Команда американских исследователей выявила уязвимость в операционных системах Android, Windows и iOS, через которую можно с вероятностью в 92% взломать почту Gmail и другие популярные сервисы.

Авторы исследования – доцент Калифорнийского университета Чжиюнь Циань, доцент Университета Мичигана Чжоуцин Морли Мао и ее коллега аспирант Ци Альфред Чэнь. Ученые представят исследование, озаглавленное «Заглянуть в приложение, но не видеть: пользовательский интерфейс и новые атаки на Android», сегодня на 23-м Симпозиуме USENIX по безопасности, проходящем в городе Сан-Диего. На этой конференции разработчики ПО ежегодно собираются для обмена опытом по кибербезопасности, прежде всего безопасности операционных систем.

Ученые начали работать над этим методом, так как посчитали, что огромное число создаваемых сейчас приложений являются фактором риска для пользователей. Когда пользователь скачивает несколько разных приложений, они начинают работать в общей инфраструктуре, то есть в операционной системе смартфона.

«Всегда предполагалось, что эти приложения не могут легко взаимодействовать друг с другом. Мы демонстрируем, что это предположение ложное и одно приложение может существенно повлиять на другие и навредить пользователю», — заявил Циань.

Суть метода заключается в том, что пользователь устанавливает на свой смартфон безобидную на первый взгляд программу, например «обои» для экрана телефона. После того как приложение (на самом деле, зловредное) было установлено, исследователи смогли получить доступ к общей памяти смартфона, где хранится статистическая информация о процессах. Общая память – функция, позволяющая нескольким процессам в операционной системе обмениваться данными, и для доступа к ней не требуется каких-либо специальных прав.

Ученые отслеживают изменения в общей памяти и сопоставляют их с такими событиями, как вход в Gmail или съемка фотографии. Дополнив информацию об изменениях данными, полученными еще от нескольких источников, авторы исследования продемонстрировали, что возможно достаточно точно определить, какая информация из общей памяти относится к нужной программе.

Правда, потенциальные взломщики столкнутся с двумя проблемами: во-первых, атаке необходимо состояться именно в тот момент, когда пользователь заходит в приложение или делает фотографию. Во-вторых, она должна произойти скрытно, незаметно для пользователя. Исследователи решили эти проблемы, тщательно рассчитывая время атаки.

«Android позволяет захватывать приложения, но атаку необходимо проводить в нужное время, чтобы не заметил пользователь. Мы это умеем, и это делает наш метод уникальным», — отмечает Циань.

Исследователи убеждены, что метод будет работать и на других операционных системах, кроме Android, в том числе на традиционно считающейся защищенной iOS, потому что у этих платформ совпадают необходимые для взлома функции. При этом они пока не тестировали свою программу на других операционных системах.

Большинство зловредных программ при установке на Android требуют большого количества подтверждений, например разрешение на доступ к SMS-сообщениям и истории звонков, что зачастую вызывает подозрения у пользователя и останавливает его от установки программы, говорит директор по развитию ИБ-компании Wallarm Cтепан Ильин.

Продемонстрированный исследователям способ перехвата данных из запущенных на смартфоне приложений, например логина и пароля при вводе его в клиенте для интернет-банкинга, лишен этого недостатка, так как не требует никаких дополнительных разрешений, используя для перехвата особенности ОС, в частности общую память приложений, отмечает эксперт. Благодаря этому зловредный функционал гораздо проще замаскировать под легитимное приложение, например игру, и под каким-то предлогом подсунуть пользователю.

Исследователи опубликовали научную работу, так что потребуется некоторое время, прежде чем злоумышленники реализуют идею и начнут ее активно использовать, говорит эксперт. «Но, когда это произойдет, вероятность того, что приложения с таким функционалом попадут в Google Play, довольно велика. Магазин приложений довольно либерален с точки зрения верификации приложений, автоматические проверки на предмет вредоносного функционала далеко не всегда эффективны», — предупреждает он.

Чтобы защититься от подобных взломов, Циань рекомендует пользователям не устанавливать сомнительные приложения, а разработчикам операционных систем – осторожнее балансировать между безопасностью и функциональностью.

Пользователи подвергаются опасности только в случае, если установят на свое устройство вредоносное программное обеспечение, подчеркивает Степан Ильин. Поэтому для защиты, как обычно, действуют элементарные правила сетевой гигиены: не устанавливать на устройство приложения из ненадежных источников и издателей — особенно писем и SMS-сообщений, обновлять ОС и приложения до актуальных версий, в которых исправлены уязвимости, и, наконец, установить антивирус, хотя бы бесплатный, напоминает эксперт по кибербезопасности.

Взлом таких базовых сервисов, как почта Gmail, может иметь серьезные последствия: именно таким образом, по мнению экспертов, хакерам удалось на прошлой неделе получить доступ к информации на смартфонах премьер-министра России Дмитрия Медведева и к его аккаунтам в социальных сетях.

Поделиться:
Новости и материалы
Песков рассказал, почему Путин ехал по Крымскому мосту за рулем Mercedes, а не на Aurus
Белохвостикову спросили про влюбленного в нее Делона
В Костроме пассажирский автобус въехал в жилой дом
Путин выразил надежду на восстановление поврежденной части Крымского моста к середине лета
Участники «Импровизации» сообщили о закрытии шоу
Британский журналист Пирс Морган опроверг информацию о переходе Роналду в «Аль-Насср»
Бывший муж Даны Борисовой назвал ее «тварью» после поражения в суде по делу об алиментах
Американский инвестор Тим Дрейпер предсказал биткоину рост до $250 тысяч в 2023 году
В Смоленской области пенсионерка пырнула ножом своего пьяного сына
Рэпер Akon поддержал Канье Уэста после его антисемитских высказываний
Финансист рассказал, как научить ребенка экономить
Актриса Валерия Ланская сообщила о разводе
Фанаты «Миннесоты» о Капризове: парень умеет играть в хоккей
Каскадер Иншаков высказался о «постановочности» драки Лепса в баре
Путин указал на важность сухопутного коридора в Крым через новые регионы России
Черепаха с острова Святой Елены отметила 190-летие и стала старейшим животным в мире
Путин продлил заморозку накопительной части пенсии до конца 2025 года
Эстония установит 15 новых радаров для повышения безопасности границы с Россией
Все новости
Найдена ошибка?
Закрыть