Често Задавани Въпроси

Eric Butler е разработил FareBot – приложение за Android, което използва вграденият в Nexus S NFC трансивър. По този начин е възможно да чете публично достъпната информация от всички MIFARE DESFire карти – такива се използват в публичният транспорт в някои градове в САЩ ( Clipper card, ORCA card ). Приложението е основно с демонстрационна цел, но въпреки това може например да прочете баланс на карта, както и последните няколко места, където е плащано с картата, без самата карта да влиза във физически контакт с телефона. Това поставя наколко интересни въпроса за опазването на личните данни и информацията.

Приложението можете да свалите от Android market, статията е тук, а в дъното можете да намерите и линк към сорс кода.

Soundminer е концептуален троянски кон за Андроид, който прехваща продиктувани или тонално набрани номера на кредитни карти и ги препраща към централен сървър. Сам по себе си троянският кон не е особено опасен, но предвещава нова посока на развитие на заплахите при мобилните телефони.

We explore the threat of smartphone malware with access to on-board sensors, which opens new avenues for illicit
collection of private information. While existing work shows that such “sensory malware” can convey raw sensor data (e.g., video and audio) to a remote server, these approaches lack stealthiness, incur significant communication and computation overhead during data transmission and processing, and can easily be defeated by existing protections like denying installation of applications with access to both sensitive sensors and the network. We present Soundminer, a Trojan with few and innocuous permissions, that can extract a small amount of targeted private information from the audio sensor of the phone. Using targeted profiles for context-aware analysis, Soundminer intelligently “pulls out” sensitive data such as credit card and PIN numbers from both tone- and speech-based interaction with phone menu systems. Soundminer performs efficient, stealthy local extraction, thereby greatly reducing the communication cost for delivering stolen data. Soundminer automatically infers the destination phone number by analyzing audio, circumvents known security defenses, and conveys information remotely without direct network access. We also design and implement a defensive architecture that foils Soundminer, identify new covert channels specific to smartphones, and provide a video demonstration of Soundminer.

Ето и самото изследване: https://www.cs.indiana.edu/%7Ekapadia/papers/soundminer-ndss11.pdf

Две скорошни новини, засягащи популярни мобилни платформи:

В iOS¹ е открита уязвимост в мобилният браузър Safari, която позволява атакуващ да скрие действителният адрес на web-страницата, която е отворена. По този начин може да се прикрие кражба на лични данни или пароли. В серия от постове експертът Nitesh Dhanjani описва уязвимостта, която използва HTML тагове, предназначени за мобилни устройства. Ето и видео-демонстрация:

Другата новина е, че в Android е открита много сериозна уязвимост, която би позволила зловреден web-сайт да извлече всеки файл, съхранен на SD картата на телефона, както и “ограничен набор от данни и файлове, съхранени в самият телефон”. Дупката е открита от Thomas Cannon, който все още не разкрива много информация, а изчаква дупката да бъде закърпена, но се знае, че е свъзана с начина на обработка на файловете от мобилният браузър, както и изпълнението на JavaScript.

Ето и видеодемо на уязвимостта:

Android Data Stealing Vulnerability from Thomas Cannon on Vimeo.

Със сигурност е засегнат Android 2.2 ( Froyo ), не са тествани по-стари версии. Екипът, отговорен за сигурността на мобилната операционната система вече се е заел с кръпката, която ще бъде включена във версия 2.3 ( Gignerbread ).

1. операционната система, използвана от iPhone, iPad и iPod Touch [обратно ↩]

MJ Keit е представил вчера на HouSecCon конференцията в Хюстън, САЩ нова атака срещу WebKit – браузърът, вграден в Android. Атаката работи срещу версия 2.1 ( и по-стари )на мобилната ОС и позволява отдалечено стартиране на код, след отваряне на линк. Използва се CVE-2010-1807. Атаката е подобна на използваната от Чарли Милър срещу MacOS¹.  Ето и демонстрационното видео:

1. с което си спечели $10 000 на един от хак-фестовете, след като успя за 20 секунди да счупи Snow Leopard [обратно ↩]

Малко новини от next big thing – сигурността на мобилни устройства:

Експерти от Spider Labs са публикували рууткит за Android¹ на лекция на конференцията DefCon. Кодът е публикуват като Proof-of-Concept и може да отваря обратен TCP тунел към атакуващия при получаване на обаждане от специален номер. Тъй като е на ниво кърнъл, рууткитът има пълен достъп. Критиците твърдят, че това е само опит за постигане на публичност, тъй като на практика няма нов вектор на атака и няма преодоляване на виртуалната машина ( Dalvik), вградена в Андроид.

Зловредният код не се саморазпространява и трябва да бъде маскиран като друго приложение, за да подмами потребител да го инсталира. Разбира се, това не е особено трудно, особено като се има в предвид скорошният скандал  – експерти от фирмата за мобилна сигурност Lookout обвиниха приложение за смяна на тапетите ( wallpapers ) на телефона, че тихо и кротко е събирало лична информация – номера на SIM картата,номера за гласова поща, идентификация и т.н. Данните са били пращани на www.imnet.us, сайт, базиран в Китай. Първоначалните обвинения бяха, че приложението е събирало дори номера, SMS-и и пароли, но по-късно тези твърдения отпаднаха. Въпреки това подобно поведение е силно подозрително и илюстрира колко лесно масовият потребител може да бъде подмамен да инсталира зловреден код.

1. в случай, че сте прекарали последната година в пещера – това е Линукс базирана операционна система за мобилни устройства, разработвана от Google [обратно ↩]

За първи път е хванато зловредно приложение за Android, публикувано в Android Marketplace. Приложението под името Droid09 е представено като e-banking приложение и вече е премахнато от онлайн магазина. Новината е от тук.

Powered by Zoundry Raven

Technorati : android, phishing, новини