Một lỗ hổng bảo mật đáng báo động đã được phát hiện trong một số mẫu điện thoại thông minh của Google, Samsung và một số hãng khác đang chạy trên nền tảng Android. Được biết, lỗ hổng có thể cho phép các ứng dụng độc hại bí mật chụp ảnh và quay video từ thiết bị của người dùng mà không cần sự tương tác của họ.
Mô hình bảo mật của hệ điều hành di động Android chủ yếu dựa trên quyền của thiết bị trong đó mỗi ứng dụng cần xác định rõ ràng các dịch vụ, khả năng của thiết bị hoặc thông tin người dùng mà nó muốn truy cập.
Tuy nhiên, các nhà nghiên cứu tại Checkmarx mới đây đã phát hiện ra một lỗ hổng mang số hiệu CVE-2019-2234 nằm trong các ứng dụng máy ảnh được cài đặt sẵn trên hàng triệu thiết bị Android. Các hacker có thể khai thác lỗ hổng này để vượt qua các hạn chế và truy cập vào máy ảnh cũng như micrô của thiết bị mà không cần được cấp quyền.
Cách thức các hacker khai thác lỗ hổng
Kịch bản tấn công được khai thác bắt đầu từ việc sử dụng một ứng dụng giả mạo để truy cập vào bộ nhớ lưu trữ của thiết bị (tức là thẻ SD). Đây là một trong những quyền được yêu cầu phổ biến nhất và không gây ra bất kỳ nghi ngờ nào.
Theo các nhà nghiên cứu, chỉ bằng cách thao túng các “hành động và ý định” cụ thể, một ứng dụng độc hại đã có thể lừa các ứng dụng máy ảnh chứa lỗ hổng để thực hiện các hành động thay mặt cho kẻ tấn công. Những kẻ này sau đó có thể lấy cắp ảnh và video từ bộ nhớ lưu trữ của thiết bị sau khi hoàn thiện thao tác chụp.
Vì các ứng dụng chụp ảnh trên điện thoại thông minh thường có sẵn quyền truy cập vào thiết bị nên lỗ hổng này có thể cho phép kẻ tấn công gián tiếp và lén lút chụp ảnh, quay video, cũng như nghe lén các cuộc hội thoại và theo dõi vị trí của người dùng. Đáng chú ý là tất cả các thao tác này có thể được thực hiện ngay cả khi điện thoại của người dùng đang khóa, màn hình trong trạng thái tắt hoặc ứng dụng không được khởi chạy.
Bên cạnh đó, các nhà nghiên cứu cũng thấy rằng trong một số kịch bản tấn công, các hacker thậm chí còn có thể phá vỡ các chính sách về cấp phép lưu trữ và truy cập vào các ảnh và video được lưu trong thiết bị của người dùng. Không chỉ vậy, những kẻ này còn có thể truy cập vào hệ thống siêu dữ liệu GPS được nhúng trong ảnh để xác định vị trí người dùng dựa trên việc phân tích các cú pháp dữ liệu EXIF phù hợp. Kỹ thuật tương tự cũng được áp dụng đối với ứng dụng chụp ảnh của Samsung.
Các nhà nghiên cứu thử nghiệm thông qua ứng dụng lừa đảo
Để mô phỏng các nguy cơ đến từ lỗ hổng đối với người dùng Android, các nhà nghiên cứu đã tạo ra một ứng dụng lừa đảo PoC được thiết kế hiển thị giống như một ứng dụng thời tiết thông thường. Ứng dụng này sẽ chỉ yêu cầu người dùng cấp phép lưu trữ cơ bản.
Ứng dụng PoC có hai phần – một ứng dụng khách chạy trên thiết bị Android và một máy chủ C&C do kẻ tấn công kiểm soát. Máy chủ C&C sẽ duy trì kết nối liên tục cho ứng dụng để đảm bảo việc đóng ứng dụng không chấm dứt quá trình kết nối máy chủ.
Ứng dụng độc hại được thiết kế bởi các nhà nghiên cứu có thể thực hiện một danh sách dài các tác vụ độc hại bao gồm:
- Tạo ứng dụng camera trên điện thoại của nạn nhân để chụp ảnh và quay video, sau đó tải (truy xuất) lên máy chủ C&C.
- Truy cập vào siêu dữ liệu GPS nhúng trong ảnh và video được lưu trên điện thoại để xác định vị trí người dùng.
- Chờ cuộc gọi thoại và tự động ghi lại âm thanh từ cả hai phía của cuộc trò chuyện cũng như các video từ phía nạn nhân.
- Hoạt động ở chế độ ẩn trong khi chụp ảnh và quay video do đó không có âm thanh hiển thị nào của camera có thể cảnh báo người dùng.
Ứng dụng độc hại cũng triển khai chờ đợi tùy chọn cho các cuộc gọi thoại thông qua cảm biến độ gần của thiết bị để có thể cảm nhận khi điện thoại được giữ ở tai của nạn nhân.
Các nhà nghiên cứu cũng đã xuất bản một video PoC khai thác thành công các lỗ hổng trên Google Pixel 2 XL và Pixel 3. Đồng thời xác nhận rằng các lỗ hổng này ảnh hưởng đến tất cả các dòng điện thoại của Google.
Tiết lộ lỗ hổng và bản vá sẵn có cho người dùng
Nhóm nghiên cứu của Checkmarx đã báo cáo các phát hiện về lỗ hổng cho Google vào đầu tháng 7 kèm theo một ứng dụng PoC và video minh họa cho các kịch bản tấn công.
Google đã xác nhận lỗ hổng và nhanh chóng phát hành bản sửa lỗi cho dòng thiết bị Pixel của mình bằng bản cập nhật camera ngay trong tháng 7. Đồng thời, phía công ty cũng liên hệ với các nhà sản xuất phụ tùng gốc vào tháng 9 để thông báo cho họ về các vấn đề tồn tại mà theo đánh giá của Google là có mức độ nghiêm trọng cao.
Tuy nhiên, Google không tiết lộ tên của các nhà sản xuất và các dòng máy bị ảnh hưởng.
Checkmarx cũng báo cáo các thông tin cho Samsung khi nhận thấy rằng lỗ hổng có ảnh hưởng tới ứng dụng camera của công ty. Samsung cũng đã xác nhận và khắc phục sự cố vào cuối tháng 8 mặc dù thông tin về bản vá không được công bố công khai vào thời điểm đó.
Để bảo vệ bản thân tránh khỏi các cuộc tấn công khai thác lỗ hổng này, bạn cần đảm bảo rằng thiết bị của mình đang chạy phiên bản mới nhất của ứng dụng camera dành cho Android. Bên cạnh đó, bạn cũng nên cập nhật lên phiên bản mới nhất của hệ điều hành Android và thường xuyên cập nhật các ứng dụng được cài đặt trên thiết bị của mình.
Thêm bình luận