Берегитесь мобильных электрозаправок

Берегитесь мобильных электрозаправок

В Америке и Европе довольно распространены зарядные станции для мобильных телефонов. Они встречаются в аэропортах, на вокзалах, в крупных торговых центрах и прочих людных местах. За небольшую плату или вовсе без таковой любой желающий может подключить свой телефон к такой станции и подзарядить батарею. Однако даже такое на вид безобидное устройство может послужить орудием хакеров.



Об этом на днях рассказали аналитики из фирмы Aires Security, выступая на конференции Defcon. Согласно их изысканиям, зарядная станция может обеспечить хищение конфиденциальных сведений, хранящихся в мобильном телефоне, или загрузку в него вредоносного программного обеспечения. Такой прием компрометации они назвали "juicejacking". Также ими был продемонстрирован и рабочий образец электрозаправки, способный реализовать подобное нападение.


Суть проблемы заключается в том, что многолетний поиск оптимальных, эргономичных и экономичных решений привел многих производителей мобильных устройств к использованию одного и того же разъема (в основном различных вариаций USB) как для зарядки аккумулятора, так и для передачи данных. Соответственно, предложив пользователю подключить телефон к электропитанию, можно одновременно без его ведома "сливать" через тот же самый разъем все сведения, доступные в режиме съемного диска - или, наоборот, записывать вредоносную информацию на флэш-карту либо в память самого телефона. В этом и состоит суть приема "juicejacking".


Такая техника может в перспективе оказаться довольно успешной: вряд ли многие пользователи задумываются о том, что заправочные станции для мобильников могут делать что-либо еще, кроме как заряжать батарею. Тем не менее, по словам аналитиков Aires, перепрограммировать аппарат в принципе не так сложно - был бы вредоносный умысел да физический доступ. При большом желании потенциальный злоумышленник может обзавестись и собственной станцией, которая изначально будет работать по его указаниям - скачивать содержимое доступной памяти либо внедрять вирусы в мобильное устройство.


Пока что juicejacking считается концептуальной атакой: прецедентов использования зарядных станций во вредоносных целях на данный момент не зарегистрировано. Однако информационная безопасность известна скорым превращением многих концептов в "живые атаки", так что свежеописанный прием все же стоит иметь в виду. Лучше всего, конечно, брать с собой в поездки собственное зарядное устройство и подключать его к энергосети общего пользования.


Кстати, в случае с USB-подключением есть простой способ проверить электрозаправку на благонадежность, который предложили специалисты из антивирусной компании Sophos. Нужно лишь внимательно посмотреть на штекер: из четырех или пяти выходных соединительных элементов (они, как правило, хорошо заметны) для подачи питания нужны только два - крайний слева и крайний справа. Те, что лежат между ними, обеспечивают передачу данных; если они отсутствуют, то штекер годен лишь для зарядки батареи, а вот в случае их наличия электрозаправка вполне сможет обменяться данными с вашим устройством.


PC World


Письмо автору

Лицом к риску: Android-смартфоны разблокируются по фотографии владельца

Разблокировка смартфона по лицу, которой многие привыкли доверять, на деле может быть куда менее надёжной, чем кажется. Как выяснили эксперты Which, у большого числа современных Android-смартфонов защиту Face Unlock по-прежнему можно обойти с помощью самой обычной фотографии владельца.

Проблема, как отмечают исследователи, никуда не исчезла, а и в некоторых сценариях даже стала заметнее.

С октября 2022 года специалисты Which протестировали 208 смартфонов, и у 133 из них (64%), система распознавания лица оказалась уязвимой для простой 2D-фотографии. Причём в 2024 году ситуация даже ухудшилась: если в 2023-м тесты не прошли 53% проверенных устройств, то год спустя доля таких моделей выросла до 72%.

Под удар попали смартфоны самых разных брендов. В списке Asus, Fairphone, Honor, HMD, Motorola, Nokia, Nothing, OnePlus, Oppo, Realme, Samsung, Vivo и Xiaomi. Речь вовсе не о каких-то малоизвестных производителях, а о вполне массовом рынке.

Почему так происходит? Большинство Android-смартфонов, особенно в бюджетном и среднем сегментах, используют обычную 2D-систему распознавания лица. По сути, камера просто сравнивает плоское изображение, а значит, не всегда способна отличить живого человека от распечатанной фотографии или даже похожего на владельца человека.

На этом фоне более надёжно выглядят устройства с 3D-сканированием лица — например, iPhone с Face ID. Подобные системы строят карту глубины лица и поэтому заметно лучше защищены от подделок. Неплохо показали себя и некоторые Android-модели

Например, свежая серия Samsung Galaxy S26 успешно прошла последние тесты Which, хотя более ранние флагманы Galaxy S25 такую проверку проваливали. Исключением стали и последние Google Pixel 8, 9 и 10: формально у них тоже 2D-подход, но за счёт машинного обучения и более строгих требований к безопасности эти модели соответствуют высокому уровню защиты.

Отдельные претензии в Which адресовали тому, как производители предупреждают пользователей о рисках. По мнению организации, если функция разблокировки по лицу может быть обманута фотографией, об этом нужно прямо и ясно сообщать ещё на этапе настройки смартфона.

Но делают так далеко не все. В Which считают, что хуже всего с прозрачностью дела обстоят у Motorola и OnePlus: с октября 2022 года у этих двух брендов набралось 27 моделей, которые удалось обмануть фотографией, при этом адекватного предупреждения для пользователя там, по оценке экспертов, не было.

Под раздачу попали и новые игроки рынка. Например, Nothing не дала достаточных предупреждений ни для одного из пяти протестированных устройств.

Из-за этого В список вошли, в частности, Fairphone 6, Honor Magic6 Lite 5G, несколько смартфонов Motorola, модели Nothing Phone, OnePlus 13 и 13R, Nord 5 и CE5, а также некоторые устройства Oppo.

RSS: Новости на портале Anti-Malware.ru