Ano ang ginagawa mo doon sa iyong smartphone? Malalaman ng mga umaatake ang lahat ng iyong mga lihim sa tulong ng isang bagong pag-atake at isang lumang bug sa Android! Ang mga espesyalista sa seguridad sa MWR Labs ay nag-ulat ng pag-atake sa mga Android smartphone na nagpapatakbo ng mga bersyon ng Lolipop, Marshmallow at Nougat OS.
Ang pag-atake ay isinagawa sa pamamagitan ng pagsasamantala sa isang lumang bug sa serbisyo ng MediaProjection, na nilikha upang makuha ang screen ng user at mag-record ng tunog. Ang MediaProjection ay nasa Android mula pa noong una, ngunit nangangailangan ito ng root access o pag-sign sa isang activation key ng device para magamit ito. Sa paglabas ng Android Lolipop 5.0, nagbago ang sitwasyon. Ginawang bukas ng Google ang serbisyo sa lahat, at nagsimulang humiling ang application ng access sa system gamit ang "intel call" - isang babala na pop-up na notification mula sa SystemUI. Natuklasan ng mga espesyalista sa MWR Labs na sa oras ng kahilingan para sa pahintulot na i-access ang screen at video, pinatong ng mga umaatake ang isang window na may ibang text ng notification dito. Ginawang posible ng scheme na ito na makuha ang screen ng user kung hinawakan niya ang pop-up window ng SystemUI, na nagpakita ng arbitrary na mensahe. Ang pamamaraang ito ay tinatawag na tapjacking, at ginagamit ito ng mga kriminal sa loob ng maraming taon. "Ang kahinaan na ito ay sanhi ng mga apektadong bersyon ng Android na hindi napapansin ang mga pekeng notification ng SystemUI," paliwanag ng mga mananaliksik. "Pinapayagan nito ang isang umaatake na lumikha ng isang application na mag-o-overlay ng mga notification ng SystemUI, na magreresulta sa pagdami ng mga pribilehiyo ng application at pagpapahintulot sa user na makuha ang desktop na imahe ng user." Sa ngayon, ang problema ay naayos lamang sa mga device batay sa Android Oreo (8.0), ngunit ang mga eksperto ay nagtatrabaho na sa seguridad ng mga gadget na may mga naunang bersyon ng operating system.
GO TO FULL VERSION