WhatsApp и Telegram угрожают безопасности Android-устройств

Эксперты научились подменять сохраненные файлы из переписок, не вызывая подозрений у жертв.

Эксперты обнаружили вектор атаки на мобильные устройства через сохраненный контент WhatsApp и Telegram. Метод подмены медиафайлов (Media File Jacking) дает злоумышленникам несколько возможностей — от подстановки своих реквизитов в чужие финансовые документы до подделки голосовых сообщений.

Как пояснили специалисты, угроза кроется в излишних правах доступа к файлам во внешней памяти Android-устройств (external storage). В отличие от данных во внутреннем хранилище (internal storage), к этому содержимому могут обращаться сторонние приложения. Более того, они способны модифицировать и подменять полученные файлы еще до того, как их увидит пользователь.

Небезопасное хранилище

Уязвимости подвержены мессенджеры WhatsApp и Telegram. Первый автоматически помещает полученные файлы во внешнюю память, второй отправляет содержимое в общий доступ, если включена функция сохранения в Галерею (Save to Gallery).

Исследователи отмечают, что пользователи без сомнений выдают разрешение на запись во внешнее хранилище. По данным аналитиков, такие права запрашивает каждое второе приложение в Google Play.

Об относительной безвредности этой функции говорят и разработчики Android. Хотя они и призывают оставлять самые ценные данные во внутренней памяти, внешнюю они называют «лучшим пространством для файлов, не требующих ограничений доступа, предназначенных для совместной работы нескольких приложений или отправки на компьютер».

Атаки Media File Jacking

Аналитики описали несколько сценариев возможных атак на базе обнаруженной уязвимости. Стоит отметить, что для их реализации злоумышленникам понадобится установить на целевое устройство дополнительное ПО, которое и будет подменять содержимое.

1. Редактирование изображений. Преступники могут вносить изменения в фотографии, сканы документов и прочие материалы. Самый очевидный способ реализации этой возможности— изменение платежных реквизитов в отправленном счете. Факт вмешательства останется неизвестным как для автора сообщения, так и для его адресата.
2. Манипуляции с аудиосообщениями. Злоумышленники, знакомые с технологиями голосовой реконструкции, могут отредактировать записи, выступая от лица одного из участников беседы. Этот метод может вывести на новый уровень мошенничество с корпоративной перепиской— например, преступники смогут отдавать указания сотрудникам компании от лица генерального директора.
3. «Фейк-ньюс». Преступники могут использовать Telegram-каналы для распространения ложной информации. В этом случае их жертвами единовременно станут не только все читатели, но и настоящие владельцы блога, которым придется объясняться перед аудиторией.

«Пользователи уверены, что сегодняшние механизмы защиты делают мессенджеры неуязвимыми перед подменой содержимого, — говорят эксперты. — Тем не менее лазейки есть в любом коде, и сквозное шифрование, которое обеспечивает безопасность данных при передаче, не защищает от багов на стороне приложения. Такие атаки, как Media File Jacking, происходят в тот момент, когда данные еще не зашифрованы или уже переведены в открытый формат».

Способы защиты

Эксперты передали информацию разработчикам WhatsApp, Facebook и Telegram, которые должны устранить уязвимость в будущих релизах. В ожидании патча пользователи могут сами отключить небезопасную функцию:

• В WhatsApp нужно пройти в настройки чатов и установить там ограниченную видимость файлов.
• Для Telegram следует отключить сохранение файлов в галерею устройства, что также можно сделать в настройках чатов.

Обнаруженная уязвимость заставила экспертов вспомнить метод Man-in-the-Disk, который также позволяет атаковать Android-пользователей через внешнюю память. Злоумышленники могли воспользоваться этим методом для чтения закрытых данных, вызова критических ошибок и выполнения стороннего кода.

Ваш голос учтён!

нравится

не нравится

Рейтинг:

0

Всего голосов: 0

Новые материалы в Разное:

RuStore открыл доступ иностранным разработчикам   // 08 февраля

CISA опубликовало декриптор в помощь жертвам шифровальщика ESXiArgs   // 08 февраля

Google обещает блюрить непристойные и жестокие картинки поиска   // 08 февраля

Бизнес предлагает продавать алкоголь по 2FA   // 08 февраля