70 млн смартфонов Xiaomi уязвимы для удаленных атак

70 млн смартфонов Xiaomi уязвимы для удаленных атак

Исследователи IBM X-Force сообщили об обнаружении в MIUI (альтернативная прошивка для Android, созданная компанией Xiaomi Tech) опасной уязвимости, которая допускает удаленное выполнение произвольного кода. По оценкам исследователей, только в 2015 году компания отгрузила более 70 000 000 устройств, которые могут быть уязвимы перед данным багом.

Проблема затрагивает версии, вышедшие до MIUI Global Stable 7.2, и была обнаружена в аналитическом компоненте, который используется различными приложениями для сбора данных о собственной работе. По данным исследователей, данный компонент имеет собственный механизм обновлений, который нельзя считать безопасным: он может быть скомпрометирован с помощью man-in-the-middle атаки и использован для заражения системы малварью.

IBM X-Force сообщает, что означенный аналитический модуль обращается к серверам обновлений через HTTP. Скачивание обновлений тоже происходит через HTTP, и все это является серьезной проблемой. Так как загруженные пакеты обновлений не подвергаются никакой верификации, и даже сервера, с которых было загружено обновление, не проверяются, атакующие получают шанс выполнить вредоносный код в системе, к тому же имея высокие права (как пользователь system), пишет xakep.ru.

Для осуществления атаки злоумышленникам понадобится лишь прибегнуть к простейшим техникам спуфинга, перехватить запрос на обновление и вернуть ответ, прикинувшись сервером. Классическая mitm-атака, которую не так уж трудно осуществить.

Исследователи пишут, что уязвимый аналитический компонент используют как минимум четыре различных приложения из Xiaomi MIUI, и одно из этих приложений – дефолтный браузер.

Представители IBM X-Force уведомили разработчиков Xiaomi о проблеме еще в январе 2016 года, и к настоящему моменту компания уже исправила уязвимость. Теперь пользователям настоятельно рекомендуется обновить прошивкудо безопасной версии 7.2.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Учёные научили Wi-Fi распознавать людей по «отпечатку тела»

Итальянские исследователи придумали необычный способ вычислять людей — по тому, как их тела искажают проходящий Wi-Fi-сигнал. Технологию назвали WhoFi (да, название занято, но, видимо, авторов это не смутило). В основе метода лежит анализ Wi-Fi Channel State Information (CSI) — параметров, которые показывают, как сигнал проходит сквозь пространство.

Учёные утверждают, что этого достаточно, чтобы «узнать» человека, даже если у него нет с собой телефона.

Технология работает так: Wi-Fi-сигнал, проходя через помещение, взаимодействует с объектами и людьми, слегка меняя свою форму. Эти искажения можно «снять» с помощью специальных приёмников и проанализировать.

Оказывается, тело каждого человека влияет на сигнал немного по-своему — как отпечаток пальца. Если пропустить эти данные через нейросеть, можно получить уникальный цифровой «портрет».

Авторы — команда из Университета Сапиенца в Риме — утверждают, что их метод способен распознавать человека с точностью до 95,5% (на открытом наборе данных NTU-Fi). Для сравнения: похожий подход под названием EyeFi, предложенный в 2020 году, давал точность около 75%.

 

Чем эта технология лучше обычных камер? Во-первых, Wi-Fi-сигнал «видит» сквозь стены и не зависит от освещения. Во-вторых, визуально человека не снимают, так что, по мнению авторов, метод даже более «конфиденциальный», чем видеонаблюдение.

Правда, идентифицировать человека по имени или паспорту система не может — речь пока идёт только о том, чтобы «распознавать» одного и того же человека в разных местах.

WhoFi — это ещё один пример того, как из бытовой технологии вроде Wi-Fi можно выжать максимум и превратить её в инструмент наблюдения нового поколения.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru