Google Camera şi aplicaţia similară de pe telefoanele Samsung, vizată de un exploit care permite spionarea utilizatorilor prin intermediul camerei foto

Vulnerabilitatea care vizează potenţial sute de milioane de telefoane cu sistem Android a fost descoperită în această vară de experţii companiei de securitate Checkmarx, aceştia publicând şi un clip YouTube demonstrativ, arătând cum o aplicaţie compromisă strecurată pe telefon poate declanşa aplicaţia de captură a telefonului fără acordul utilizatorului. Poza astfel obţinută este trimisă apoi atacatorului în mod automat, folosind conexiunea la internet.

Investigată mai întâi pe telefoanele Pixel 2 XL şi Pixel 3, vulnerabilitatea a fost descoperită şi la aplicaţiile de captură livrate pe alte telefoane Android, inclusiv cele fabricate de Samsung. Având în vedere larga răspândire a acestei probleme, putem vorbi despre sute de milioane de dispozitive vulnerabile.

Potrivit informaţiilor furnizate de Checkmarx, aplicaţia creată pentru spionarea utilizatorilor de Android nu necesită decât permisiune pentru accesarea spaţiului de stocare al dispozitivului, solicitată în mod uzual de vasta majoritate a aplicaţiilor de Android. Modul în care aceasta poate controla aplicaţia Google Camera fără să dispună de permisiuni exprese pentru folosirea camerei foto uşurează munca atacatorilor, care pot folosi orice aplicaţie de Android pentru a infiltra dispozitivele utilizatorilor fără să dea de bănuit.

Odată instalată, aplicaţia compromisă poate forţa dispozitivul să obţină imagini şi să înregistreze videoclipuri chiar şi atunci când telefonul este blocat cu ecranul oprit. Experţii Checkmarx au reuşit până şi obţinerea de poze folosind telefonul victimei, în timp ce aceasta era angajată într-un apel de voce. Spre exemplu, cineva ar putea folosi telefonul victimei pe care o apelează pentru a observa împrejurimile acesteia.

Folosind serverul de comandă şi control, atacatorul poate vedea dispozitivele vulnerabile conectate la server şi ar putea forţa telefonul ţintă să facă o poză sau un videoclip şi să-l încarce pe server. Iar dacă funcţia geotagging este activată din meniul aplicaţiei de captură a telefonului, atacatorul va afla şi locaţia exactă a utilizatorului, plănuind următorul pas fără a-şi dezvălui propria sa locaţie.

Google confirmă problema de securitate din aplicaţia Google Camera şi anunţă că dispozitivele afectate au primit deja actualizările necesare, livrate automat prin intermediul Play Store încă din luna iulie 2019. Un patch a fost pus şi la dispoziţia tuturor partenerilor care folosesc Google Camera pentru propriile produse, vulnerabilitatea fiind între timp remediată pe majoritatea dispozitivelor.