Выяснилась возможность слежки за людьми через камеру смартфона (видео)

В компании Checkmarx нашли способ заставить камеру смартфона принудительно делать снимки

Специалисты по кибербезопасности из компании Checkmarx опубликовали отчет о найденной ими уязвимости в операционной системе Android, сообщается в блоге компании.

Для этого необходима определенная последовательность действий и внутренних системных вызовов. Все, что после этого остается злоумышленнику - скачать полученные в результате ролики и фотографии. Это позволяет приложению не имеющему доступ к камере производить полноценный захват видео, звука, изображений окружающего смартфон пространства и отслеживать местоположение.

Чтобы проверить свою теорию, в Checkmarx создали приложение "погода" и продемонстрировали его работу. Программа выполняет все свои основные функции.

Но сразу после первого запуска она устанавливает фоновое защищенное соединение с удаленным сервером злоумышленника и начинает ждать команды. Оно продолжает работать и после закрытия приложения. Есть два режима работы - обычный, когда камера смартфона открывается на экране и скрытный, в котором камера будет включаться только если смартфон лежит "лицом вниз".

В результате эксперимента со смартфона Google Pixel 2XL под управлением последней версии Android 9 были получены геоданные из всех снимков, а также фото и видео в режиме реального времени.

Также специалисты по кибербезопасности продемонстрировали вполне реальный вариант шпионажа, когда человек разговаривает по телефону рядом с проектором, на который выводятся конфиденциальные данные. В момент разговора смартфон записывает видео, а после этого готовый файл злоумышленник благополучно сохраняет себе.

Информация об уязвимости предоставили компании Google четвертого июля. Спустя несколько дней, она получила высокий приоритет, а в августе ее зарегистрировали под кодом CVE-2019−2234. До конца месяца Checkmarx связались с ведущими производителями смартфонов, из которых, Samsung подтвердил, что его устройства подвержены данной уязвимости.

Источник: tech.liga.net