Глава відділу безпеки компанії Checkmarx Ерез Ялон розповів про знайдену ним вразливість в системі безпеки Android. Завдяки ній будь-який додаток міг керувати рідним додатком “Камера” в смартфонах Google і Samsung, не маючи необхідних на те дозволів з боку користувача.
Для демонстрації того, як можна використовувати знайдену ним вразливість, Ялон спеціально створив фальшивий додаток погоди, який просив у власника смартфона один єдиний дозвіл – дозвіл доступу до пам’яті пристрою. Так як сам по собі розроблений додаток не має шкідливого коду, він без проблем пройшов перевірку безпеки Google Play Protect в магазині додатків Google. Але при цьому, закриття програми не обриває її з’єднання з сервером, завдяки чому розробник мав можливість продовжувати відправку команд на пристрій користувача.
В результаті зловмисник, який використовує знайдену Ялоненом вразливість, міг знімати фото і відео за допомогою камери смартфона, а потім завантажувати на віддалений сервер, при цьому користувач міг не знати про те, що відбувається, адже звук спрацьовування камери хакер без проблем міг відключити. Також додаток був здатний за допомогою датчика наближення визначати факт розмови користувача по телефону, з подальшим записом аудіо та відео процесу.
Google була попереджена про проблему в липні, але лише в листопаді, разом з Samsung, компанія схвалила публікацію про знайдену дірку в безпеці. За словами пошукового гіганта, йому вдалося виправити уразливість на власних пристроях ще в липні, партнери ж компанії також отримали “латочку” на власні пристрої.