Chyba v Androidu umožňuje spustit nahrávání obrazovky bez vědomí uživatele

Podle zprávy, kterou zveřejnila společnost MWR InfoSecurity zabývající se internetovou bezpečností, existuje možnost zneužití služby MediaProjection. Jedná se o pevnou součást operačního systému od Android 5.0 Lollipop a slouží k nahrávání obrazovky či její zrcadlení na zařízení, jako je Google Chromecast. Jedná se o výrazné usnadnění, neboť do Androidu 5.0 bylo k nahrávání obrazovky nutné, aby měl telefon povolená práva root. Zároveň se ovšem může jednat o bezpečnostní riziko.

MediaProjection musí uživatel výslovně povolit kliknutím na příslušné tlačítko ve vyskakovacím okně. Útočník však může toto okno překrýt jiným, takže uživatel sice nahrávání povolí, ale zcela nevědomky. V notifikační liště se sice zobrazí upozornění, ne každý si jej však může všimnout, nebo mu věnovat pozornost. Potom může útočník sledovat, co uživatel na smartphonu dělá a především se tímto způsobem dostat k osobním údajům nebo číslům platebních karet. Kromě vyčistění bankovního účtu se však nabízejí také další scénáře zneužití, jako je získání citlivých fotografií, dokumentů nebo konverzací – stačí, aby uživatel v době nahrávání používal nějakou aplikaci. Odtud už je jen krůček od vydírání nebo úniku citlivých informací.

Některé aplikace naštěstí mají ochranu, aby nebylo možné pořizovat screenshoty nebo nahrávat obrazovku, to ovšem neplatí pro internetové prohlížeče, přitom do jejich formulářů často vkládáme třeba čísla platebních karet. Odborníci z MWR InfoSecurity objevili chybu už letos v lednu a okamžitě na ni upozornili Google, ten však problém ošetřil pouze v Androidu 8.0/8.1 Oreo. Předchozí verze, konkrétně Android 5.0 až 7.1, tedy nadále zůstávají ohroženy touto chybou, přitom běží na 77,5 % zařízení. Uživatelům nezbývá než doporučit, aby si do telefonu neinstalovali podezřelé aplikace a dávali dobrý pozor na povolení, o která žádají.

Zároveň je nutné okamžitě zareagovat v případě, že by se objevila notifikace Cast, aniž by uživatel používal Chromecast či podobné zařízení. Na druhou stranu zpráva nezmiňuje, zda nějaký útočník bezpečnostní chybu úspěšně zneužil.

Zdroj: Wccftech.com