Баг Facebook Messenger для Android позволял шпионить за пользователями

Баг Facebook Messenger для Android позволял шпионить за пользователями

Баг Facebook Messenger для Android позволял шпионить за пользователями

В мобильной версии приложения Facebook Messenger устранили уязвимость, с помощью которой можно было прослушивать окружение вызываемого абонента. По свидетельству нашедшего баг эксперта, скрытное подключение к целевому Android-устройству в данном случае выполняется за пару секунд.

Новую лазейку для шпионов обнаружила участница ИБ-проекта Google Project Zero Натали Силванович (Natalie Silvanovich). В Facebook находку оценили в $60 тыс. — это один из крупнейших призов, которые компания выдает в рамках своей программы для баг-хантеров.

Причиной появления уязвимости, со слов Силванович, является некорректная реализация протокола SDP (Session Description Protocol, протокол описания сеансов передачи мультимедиа-данных). Этот протокол является важной частью технологии WebRTC (Web Real-Time Communication, коммуникации в реальном времени), позволяющей проводить конференции в браузере.

При установке WebRTC-соединения между мобильными устройствами происходит краткий обмен сообщениями. Отвечая на звонок, абонент нажимает соответствующую кнопку, подтверждая тем самым свое согласие на подключение и трансляцию аудио.

Проводя аудит мессенджера Facebook, эксперт обнаружила, что из-за ошибки разработчиков злоумышленник может с помощью сообщения SdpUpdate запустить аудиотрансляцию в ходе вызова — без ведома и согласия адресата. Это SDP-сообщение не используется при установке соединения WebRTC, но его вброс позволит автору атаки услышать через наушники все, что происходит рядом с вызываемым абонентом.

Эксплуатация уязвимости предполагает наличие разрешения на звонок намеченной жертве — к примеру, злоумышленник должен числиться в списке друзей на Facebook. Силванович провела пробную атаку на Android с установленным Facebook Messenger версии 284.0.0.16.119 и выяснила, что искомый результат можно получить за пару секунд.

Злоумышленники все чаще звонят на городские телефоны

Телефонные мошенники всё чаще переключаются на стационарные телефоны. Это связано с более слабой защитой фиксированной связи на уровне сети, а также с отсутствием определителей номера во многих домах. Кроме того, стационарные номера сегодня используют реже и почти не оставляют их в качестве контактных. Поэтому любые входящие вызовы на них воспринимаются как более «доверительные».

О тенденции рассказал РИА Новости руководитель направления антифрода «Билайна» Александр Фадеев. По его словам, резкий рост таких звонков начался летом 2025 года. Уже в июне об активизации злоумышленников, использующих стационарные номера, предупреждал депутат Госдумы Антон Немкин.

«Городские телефоны — лёгкая мишень: в отличие от мобильных, они не защищены на уровне сети, и далеко не у всех есть определитель номера. При этом ими чаще пользуются пожилые люди и дети», — пояснил представитель «Билайна».

Среди мошеннических сценариев по-прежнему заметную долю занимает тема «продления абонентского договора». Именно с неё началась новая волна звонков на стационарные телефоны прошлым летом. Конечная цель злоумышленников — «угон» аккаунта на Госуслугах или развитие двухступенчатой схемы с последующей кражей сбережений.

В числе новых сценариев Александр Фадеев назвал «оплату просроченных счетов» за услуги ЖКХ и ресурсоснабжающих организаций, а также «замену счётчиков». Популярны и легенды о предстоящей модернизации телефонной линии, бесплатной замене оборудования, переоформлении документов для пенсионного фонда или записи в поликлинику. Во всех случаях задача одна — получить персональные и платёжные данные, а иногда и запустить многоступенчатую схему хищения средств.

RSS: Новости на портале Anti-Malware.ru