Родительский контроль на Android сможет обойти даже ребенок

Родительский контроль на Android сможет обойти даже ребенок

Родительский контроль на Android сможет обойти даже ребенок

Восемь Android-приложений для родительского контроля, суммарно собравшие свыше 20 млн загрузок, содержат уязвимости, грозящие обходом выставленных ограничений. Некоторые проблемы, по данным SEC Consult, позволяют добраться до конфиденциальной информации, в том числе на других устройствах в домашней сети.

Специализированные интернет-фильтры, призванные оградить детей от нежелательного контента, хранят и передают большие объемы конфиденциальной информации — такой как установленные приложения, контакты, фото, данные геолокации, метаданные вызовов, содержание СМС-сообщений. Выявленные уязвимости не только сводят на нет основную задачу такого софта, но также ставят под угрозу сохранность этих данных и безопасность устройств детей и родителей.

Для исследования были отобраны восемь программ родительского контроля, доступных в Google Play:

  • Familytime (> 1 млн загрузок),
  • Boomerang (> 100 тыс. загрузок),
  • Quostodio (> 1 млн загрузок),
  • Wondershare (> 1 млн),
  • Find My Kids (> 10 млн),
  • Parental Control Kroha (> 1 млн),
  • Kids Place Parental Controls (> 5 млн),
  • Kidssecurity Parental Control (> 1 млн).

Как оказалось, все они позволяют обойти ограничения, выставленные родителями, посредством отзыва разрешений — через настройки Android или переходом в безопасный режим. Речь идет о таких разрешениях, как политики администрирования, история использования, спецвозможности, наложение окна. Некоторые испытуемые приложения пытаются воспрепятствовать такому вмешательству — например, с помощью оверлея поверх системных настроек.

Одна из программ родительского контроля из-за неадекватного управления сессиями позволяла расширить права других приложений ребенка через API. Это тоже грозит снятием всех ограничений — от имени родителя. Еще одно спецприложение открывает возможность для считывания метаданных на другом устройстве через API.

Некоторые испытуемые проги допускают использование клиент-серверного приложения ADB (Android Debug Bridge) для создания резервных копий. В итоге злоумышленник сможет с его помощью добраться до бэкапа и украсть конфигурационные и другие закрытые данные, хранимые на смартфоне.

Исследователи также проверили на уязвимость веб-панели мониторинга для родителей. Оказалось, что в двух случаях можно провести XSS-атаку с целью выполнения различных действий на устройстве ребенка от имени родителя. Уязвимость тоже позволяет снять текущие ограничения, а также получить доступ к учетным данным пользователя (родителя).

Несколько приложений-фильтров допускают передачу данных открытым текстом (в виде опции), что открывает возможность для атаки «человек посередине» (MitM). Злоумышленник сможет таким образом завладеть учетками и ПДн. В этом случае не спасет даже такая защита, как закрепление сертификатов (certificate pinning), так как ее можно обойти с помощью специального скрипта для фреймворка Frida.

Некоторые сторонние серверы, с которыми контактируют программы родительского контроля, отслеживают не только использование софта и веб-панели, но также движения курсора мыши и клики — таким трекингом занимается, в частности, сервис mc.yandex.ru, получающий данные от Find My Kids.

О своих находках SEC Consult сообщила вендорам. После выпуска патчей аналитики обещают опубликовать другие подробности.

Мошенники в России активно переходят на наличные

По данным банка ВТБ, около половины всех хищений средств сегодня совершается с использованием наличных. При этом деньги жертвы передают злоумышленникам добровольно — лично или через курьеров. Как правило, мошенники действуют с помощью манипуляций: представляясь сотрудниками регуляторов или правоохранительных органов, они вводят людей в состояние паники, заявляя об угрозе их сбережениям.

Под предлогом «спасения» денег, находящихся на счетах, аферисты убеждают жертв обналичить средства и передать их курьеру — якобы для «ответственного хранения» или перевода на «безопасный счёт».

Реже злоумышленники требуют спрятать наличные в тайнике или оставить их, например, в почтовом ящике. О подобных схемах банк предупреждал ещё в июле.

Как показало исследование Следственного департамента МВД, выдержки из которого привела официальный представитель ведомства Ирина Волк, мошенники нередко сопровождают требования по передаче денег откровенно абсурдными условиями. Например, просят завернуть купюры в фольгу — якобы для защиты от электромагнитного излучения. Также часто используются предметы одежды: джинсы, халаты, носки. Встречаются и более экзотические варианты — деньги предлагают положить в банку с домашними консервами или в упаковку с детскими подгузниками.

По мнению авторов исследования, такими требованиями злоумышленники решают сразу две задачи. Во-первых, они убеждают жертву, что та участвует в некой «спецоперации», где каждая деталь важна и требует строгого выполнения. Во-вторых, абсурдные инструкции помогают вывести человека из эмоционального равновесия. Кроме того, это своего рода тест на критическое мышление: если человек сомневается и указывает на нелепость требований, давление усиливается, а если готов беспрекословно выполнять указания — мошенники продолжают сценарий.

Как отметил заместитель руководителя департамента по обеспечению безопасности, вице-президент ВТБ Дмитрий Саранцев, ранее злоумышленники чаще требовали переводить деньги на подконтрольные им счета. Однако развитие систем банковского фрод-мониторинга привело к тому, что такие операции всё чаще выявляются и блокируются. В результате мошенники всё активнее переходят к схемам с наличными.

В банке рекомендуют немедленно прекращать разговор, если собеседник предлагает «для защиты» сбережений передать деньги «курьерам», «инкассаторам» или оставить их в тайнике. Для проверки любой информации следует обращаться только по официальным каналам банка.

Профильное управление МВД также предупреждает о резком росте схем с использованием наличных. В частности, злоумышленники всё чаще используют несуществующее в российском правовом поле понятие «дистанционного обыска», например под предлогом проверки подлинности купюр.

RSS: Новости на портале Anti-Malware.ru