US researchers discovered a flaw in Android, Windows, and iOS operating systems and could allow access to popular services such as gmail.
Security experts from California Riverside Bourns College of Engineering and University of Michigan has identified a weakness that is believed to exist in all of the above operating systems, and which could allow attacks on sensitive data from malicious applications.
The weakness was controlled through one Android smartphone, αλλά οι ερευνητές ισχυρίζονται ότι η μέθοδος θα μπορούσε να χρησιμοποιηθεί και σε όλες τις άλλες πλατφόρμες - καθώς κάθε λειτουργικό σύστημα έχει ένα παρόμοιο feature: τη δυνατότητα των εφαρμογών να έχουν πρόσβαση στη κοινόχρηστη μνήμη of the mobile device. However, the researchers have not performed tests on other systems.
The attack can be done by using a seemingly harmless application, such as changing wallpaper. After installation, the researchers were able to exploit a vulnerability recently committed to the shared memory channel of a process, which to approach does not need rights or privileges to implement.
Μετά από την πρόσβαση τους, αρχίζουν να παρακολουθούν τις αλλαγές στο εσωτερικό της κοινόχρηστης μνήμης. Οι αλλαγές αυτές συνδέονται με αυτό που η ομάδα των ερευνητών ονομάζει σαν "δραστηριότητα μετάβασης" ή "activity transition event." Με άλλα λόγια, όταν ένας χρήστης χρησιμοποιεί μια εφαρμογή, για παράδειγμα, για να συνδεθεί στο gmail or take a photo, changes in activities are noted.
There are two stages in this attack: in the first, the attack must be done in real time, that is, when the user connects to gmail. Στο δεύτερο στάδιο, το hack θα πρέπει να γίνει με τέτοιο τρόπο ούτως ώστε να μη ανιχνευτεί από τον χρήστη - κάτι το οποίο μπορεί να επιτευχθεί με ένα καλό timing.
The method has been successfully tested in applications such as Gmail, Chase Bank and H & R Block.
Attacks on gmail ήταν επιτυχής κατά 92%, όπως και οι επιθέσεις στο H & R Block. Οι πιθέσεις που πραγματοποιήθηκαν στις εφαρμογές Chase, Newegg, WebMD και Hotels.com ήταν επιτυχείς κατά 83%.
A difficult implementation was the Amazon implementation, with a success rate of 48%.
Zhiyun Qian, associate professor at UC Riverside, told ZDNet:
"Από τη σχεδίαση του, το Android επιτρέπει σε εφαρμογές να προσπελαστούν ή να γίνουν hijacked. Αλλά το θέμα είναι ότι πρέπει να το κάνετε τη σωστή στιγμή έτσι ώστε ο χρήστης να μην το παρατηρήσει. Εμείς κάνουμε ακριβώς αυτό και είναι κάτι που κάνει την επίθεση μας μοναδική."
Qian υποδηλώνει ότι οι χρήστες "δεν εγκαταστήσετε untrusted εφαρμογές," και για τους προγραμματιστές, ο ερευνητής λέει ότι μια πιο προσεκτική αντίστροφη σχέση μεταξύ της ασφάλειας και της λειτουργικότητας θα πρέπει να οριστεί σε πέτρα.
Η εργασία τους με τίτλο, "Peeking into your app without actually seeing it: UI State Inference and Novel Android Attacks," (.PDF) will be presented today at 22 August at the USENIX Security Symposium in San Diego. Watch the video from one of the attacks.
