找回密码
 注册

扫一扫,访问微社区

EDA365西安站-11月24日电子硬件技术研讨会
查看: 20|回复: 0
打印 上一主题 下一主题

Android被曝严重相机漏洞!锁屏也能偷拍偷录,或监视数亿用户

[复制链接]

该用户从未签到

跳转到指定楼层
1#
发表于 2019-11-22 13:20 | 只看该作者 |只看大图 回帖奖励 |倒序浏览 |阅读模式

EDA365欢迎您登录!

您需要 登录 才可以下载或查看,没有帐号?注册

x
你可能一直在被观看,却不知道是谁在观看。

5 ~4 L- A% q5 m  |4 b/ `

3 U( l+ H  ]3 k8 W! l7 |1 F

$ u7 ?, |' l4 j) o+ h3 b0 ^

$ t8 ^8 }1 B! o$ p摄像头,已经从手机的附带功能,升级为记录生活的一种方式。面对金黄的银杏林、枝头的初雪、和朋友相聚的火锅,我们都会拿出手机,打开摄像头拍照或者录制vlog,这已经是我们观看、记录和表达世界的渠道。
% l5 F5 l8 v2 x+ O# f/ R
4 m6 L! {+ {) p; l4 M
* t# O/ X+ k8 {2 ~9 E/ p
但是,如果说在你毫无察觉的时候,手机摄像头就被开启用来监视你的生活,这可能就是现代的《楚门的世界》。
' S1 q3 a$ f8 [0 Q( v8 Z; M& N& M8 m" n4 j  V
6 K; z" k$ g: E3 E5 {" F
$ A3 V5 H( Z& j3 ~: Z; y
- N$ A' O3 e5 \( [
现在,这种如果,出现了一点成为现实的可能。" \5 q# q1 Z/ G. c

, z4 B7 f/ B' N2 ~

$ L; |% g) i9 i& O据外媒报道,Checkmarx的安全研究团队发现了安卓手机的漏洞,攻击者通过访问手机存储空间就可以绕过Android权限,在不需要获取用户同意的情况下,就可以远程控制手机进行远程拍照、录制视频、监视对话
" z9 l6 ?; Z4 X+ Y- n# p' |) G: h, D* E6 Q5 S- j! V

9 k/ z/ v9 q% }3 WCheckmarx尖端软件漏洞研究团队新成果,Google和三星手机漏洞可通过相机监视用户
+ C5 u5 A' V# `+ V$ v2 q! ^0 j, \* {. O0 R7 u$ n6 D
! N" P/ M0 S5 N- e/ h
研究团队说有漏洞就真的有漏洞吗?是不是危言耸听?首先,我们来看看Checkmarx的安全研究团队是什么来头。
9 i* Z3 O! }" }* L
) h4 c# K+ M$ a4 K. p4 b* L

" _( A( G( f/ J3 Z8 H# Y3 E% m; wCheckmarx是以色列的一家高科技软件公司,也是世界上最著名的源代码安全扫描软件Checkmarx CxSuite的生产商。Checkmarx被提名为2019年Gartner应用安全测试魔力象限的领导者,在应用安全领域市场领导者类别获《网络防御》杂志2019年Infosec奖,曾赢得年度应用安全解决方案奖。
, O7 Q9 d6 V# T# o" B8 B/ {, Q7 ~

0 e: t: Q. i% e% K其安全研究团队对Amazon的Alexa,Tinder,LeapFrog LeapPad等产品的尖端软件漏洞研究,《早安美国》新闻,《消费者报告》和《财富》在内的知名媒体皆发文报道,引发行业关注。
/ O; ]: }; w; W# P3 P2 Q# a
9 I0 W' K2 d! |9 ?$ A

1 G- Q" Z' m$ W这次,Checkmarx的安全研究团队在研究Google Pixel 2XL和 Pixel 3 手机上的谷歌相机app(Google Camera)时,发现了几个漏洞,这些漏洞都是因为允许攻击者绕过用户权限的问题引起的。另外,三星相机也存在这一漏洞。
0 O( ?) h8 q6 n' E) j  N% l7 @5 K7 w
0 u& P2 g$ y% N0 Y  {" h
2 B( x  z# p) n  a, u7 z

  S9 L  _* T8 y) N: g& O7 |而此前,研究团队还披露亚马逊的Alexa和Tinder存在这个问题。: ?) e4 W/ g# n0 D! K/ e  w
7 W& V, P  E2 y6 a0 h  g" o: s
9 J+ I2 O1 ~  p2 k
仅仅考虑到Google和三星手机的覆盖范围,这些漏洞可能会对数亿用户产生影响,甚至是威胁。
) _. I5 D. O. E# p, b$ X- j
$ ^" Z' }6 u. P% H, X& c

9 _* w+ D7 u4 @不寒而栗:恶意应用悄无声息地拍照、录像、偷听……
! Z( o4 t1 m8 B
: m( ?0 f; V' [; g, R

, h" g- u( }. S( f这个漏洞被命名为CVE-2019-2234,它本身允许一个恶意应用程序远程从摄像头、麦克风和GPS位置数据获取输入。能够做到这一点的影响非常严重,以至于Android开源项目(AOSP)专门拥有一组权限,任何应用程序都必须向用户请求这些权限并获得许可,然后才能启用这类操作。
" g5 \7 {3 [, f# S2 t& A+ [6 s$ O$ I

% }- a' t' ^, P% k" g: ^, gCheckmarx的研究人员所做的就是创建一个攻击场景,该攻击场景滥用了谷歌相机应用本身来绕过这些权限。为此,他们创建了一个恶意应用程序,利用了最常请求的权限之一:存储访问: A3 I- ]7 b$ |7 m- Y' w

, l; {$ Q, ]7 d" g; l  x# q

" y- \! H; g: ]3 h+ Z4 b/ K) B, W
恶意应用请求的权限仅是“存储访问”$ l" ~8 ]' t' X# u
; V' c8 D9 B* f8 i) E/ ?- @7 r- B
; G  r& G' _" {1 j& U. S/ o
6 Y2 X& W; E9 _0 o
“这个运行在Android智能手机上的恶意应用程序可以读取SD卡,”Yalon说,“它不仅可以访问过去的照片和视频,而且利用这种新的攻击方法,可以随意拍摄新的照片和视频。”4 K' ]$ J, V6 ^! i2 P# n2 j

7 ~# n" s9 e& J
" N# ^4 D, c# R+ t0 @
恶意应用悄无声息地启动了手机的视频录制
- T7 t3 h+ C/ e* }1 b4 E, J$ Y5 A1 n( h

+ z1 t! U- P' h* J7 ?) b  r
恶意应用远程录制通话
4 d  A1 p: |  r

0 U2 t- p# K: z# r3 d5 F9 G' ?
: k  }" \+ H7 R: e; s. h# {
5 u7 n$ B; U9 {8 g
攻击者如何利用Google Camera应用程序的漏洞?
4 }4 r) y& h' P7 F8 ^2 ]6 Y
4 ]( i& s, E0 b1 a6 p

. }" r+ [9 F8 U& m2 d8 z7 D0 P5 hCheckmarx通过开发一个恶意应用程序创建了一个概念验证(PoC)漏洞。这是一个天气APP,在谷歌应用商店中一直很流行。除了基本的存储访问权限外,这个应用程序不需要任何特殊的权限。该应用程序不太可能引起用户的警觉,因为只需请求这样一个简单、普通的许可。毕竟,人们习惯质疑不必要的、广泛的许可请求,不会去质疑一个单一、常见的许可请求。, o# m& T3 V; v# n. K  H$ R* L

$ T0 h# q+ T( @" ]1 {
8 ]) z  j0 p3 q. N1 H: n. I: ]
然而,这个应用程序远非无害。它分为两部分,一部分是运行在智能手机上的客户端应用程序,另一部分是与之连接的命令和控制服务器,以执行攻击者的命令。" [3 Y( f. b* [# B" w$ ~# z' G! h

( x3 ?- H3 X. R' ]

) k2 l6 b/ b4 F3 A) m0 p
5 r  S$ ^$ C1 n( C. E# r2 N. Q
) W5 w+ L- M4 f; H6 A
安装并启动应用程序后,它将创建与该命令和控制服务器的持久连接,然后等待指令。关闭应用程序并不会关闭服务器连接。. v( H$ ~6 s+ J, n6 w7 L

0 A+ X" j4 T) M" C' V* ?7 y/ ^  n0 k; x

, {& x3 Y* I6 W( Y" a/ `! i攻击者可以发送什么指令,导致什么操作呢?这份长长的清单可能会让你不寒而栗:
8 a! p: j, i9 \
$ G& g2 u& }/ Z  h# K; ~
5 V* w" p2 R" G' [
  • 使用智能手机摄像头拍照并上传至命令服务器。
  • 使用智能手机摄像头录制视频并上传至命令服务器。
  • 通过监控智能手机的近距离传感器来确定手机何时靠近耳朵,等待语音通话开始,并录制通话双方的音频。
  • 在被监控的通话过程中,攻击者还可以在录制音频的同时录制用户的视频。
  • 从所有拍摄的照片中获取GPS标签,并使用这些标签在全球地图上定位手机主人。
  • 访问并复制存储的照片和视频信息,以及在攻击过程中捕获的图像。
  • 通过在拍照和录制视频时使智能手机静音来隐秘地进行操作,这样就不会发出相机快门的声音而令用户警觉。
  • 无论智能手机是否解锁,都可以启动拍照和录像活动。2 B- l. O) T# @9 q7 I* A+ a. s
Google Camera应用程序漏洞披露时间表
) ^# K# \- j! e% q% U# j
& q; X; |# A) ~# Q5 |* j
8 i4 Z6 K9 b, h( M
近日谷歌和三星联合发布了这一信息,以确保两家公司都已发布漏洞补丁。然而,漏洞信息是从7月4日开始披露的,Checkmarx向谷歌的Android安全团队提交了一份漏洞报告,这才开始了幕后的揭露。. a% p% R; T0 G- `& r

% E( j* s$ V/ |3 u% D* j# A* l0 M

7 X1 i* E8 v# h% l- W7 I) |8 k7月13日,谷歌最初将漏洞的严重程度设置为中等,但在Checkmarx进一步反馈之后,严重程度在7月23日被调为“高”。
2 T: x  l* `; _6 e( c  }4 J% g2 a1 Q7 L9 [, W0 S6 z

, o) q% V1 y. o: _8月1日,谷歌证实了这些漏洞影响了更广泛的Android生态系统,其他智能手机厂商也受到了影响,并发布了CVE-2019-2234。7 S6 g. a' K4 r7 x- S
, g9 O. Y1 Y7 e2 l' {0 \

" S* q. Y' |, k& c( S8月18日,谷歌联系了多家供应商;8月29日,三星证实该漏洞影响了他们的设备。
) W7 b2 s* N  C' p9 p5 X% q4 a+ \# Q& J6 [& X  l+ p0 ~
% A" x; I/ V1 @, Y
谷歌回应已提供补丁,安全专家:“简直令人瞠目结舌”
1 X# D/ e+ K- w1 c) |7 ~( {  `4 ^7 x: T7 W" j9 R* W
- \2 `$ k9 j! ?/ H* P
谷歌回应:已向所有合作伙伴提供补丁
2 _# P6 Q0 r: V4 }- d# N$ K6 M  z9 P& a
& s. |. B# K1 U
在媒体联系谷歌后,一位发言人表示:“我们很感谢Checkmarx提醒我们注意到这一漏洞,并与谷歌和Android的合作伙伴合作,协调信息披露。通过2019年7月Google Play商店发布的Google Camera 应用程序的更新,受影响的谷歌手机已经解决了该问题。我们也已经向所有合作伙伴提供了该补丁。”1 {5 J* [) f1 b- ~
/ h/ E5 |% _: D, L* W% w% Q
, A* T$ K# _% s1 i9 R/ A
然而,该漏洞的披露被推迟到谷歌和三星都发布了补丁之后,所以,如果你的相机应用程序有最新版本,一定要更新到最新版本以免受攻击的威胁。
1 k$ |/ h: x+ b9 D! k7 B. ~, \0 c5 h
% [( E- W* q' k! X! U* ]( ^! S& W
+ u( ~# A7 i% x$ @( n- Y) g3 g
此外,更新到最新版本的Android操作系统,确保你的手机已经应用了最新可用的安全补丁,并建议为设备使用最新版本的相机应用程序,以降低风险。8 A, v1 Y) v+ J+ p& q5 i9 C
- x7 }! f# u& E1 W+ j3 }1 y! `

6 V2 `! H- v9 I) \* s安全专家意见:“简直令人瞠目结舌”1 N  L; m( }3 q; z" s; i. q3 y

+ {! ^+ C/ R7 N4 q3 u$ n
0 E) u1 Z& s' v1 X$ p
我们询问了安全专家Ian Thornton-Trump,他对这一漏洞的严重性有何看法,以及该漏洞将如何影响到更广泛的智能手机安全。8 Q2 c! Z# v9 U/ P

1 V9 x) g. M6 X+ u. N* X; T

  V, L+ b! x' K& AThornton-Trump说:“当我读到这份关于相机应用程序有多么脆弱的报告时,我简直惊掉下巴。这听起来不像是一个漏洞,而更像是一个具有全功能间谍软件的高级持续威胁(APT)。6 s% [3 K8 I' ^
0 V9 H( k8 Z8 z& D0 y3 F- l* r

! X  F, ^3 ?" e$ N2 l实际上,Thornton-Trump注意到,如果安全研究人员是黑帽,他们可以很容易地将这项研究变现,获得数十万美元。他说:“多亏Checkmarx研究人员的出色工作和正直人格,现在所有安卓用户都更安全了。”0 E0 |% N! m9 v9 A5 p

# r% g# A! J6 D3 B& E, C
3 U: {, R. {7 o6 r! e
Thornton-Trump对谷歌很快发布了补丁感到高兴,但他表示,由于漏洞的严重性和全面性,“谷歌也是时候让 ‘Project Zero’的一些能力深入到Android操作系统本身了。”  z( |' x6 \% }# R( {

+ t) J5 x' J5 [' e  Q7 @
+ A9 B' h& y4 i* x8 L
“毫无疑问,大量被披露的Android漏洞正在损害Android的品牌。最近的‘白屏死机’问题也不利于公司的声誉。谷歌需要做更多的工作来保证用户信任Android设备的安全性和保密性。与此同时,任何需要保护的人都应该马上更新系统,”他说:“如果你因设备老化或缺乏制造商支持而无法更新设备,那么就该换台新设备了。”
: v& a% A, }! \6 |
/ C( q( o* k6 i
6 ?" g  Q, v% M9 A* x; Z1 V

85f8652ee23d438383cc726c15f75ddb.jpg (16.85 KB, 下载次数: 0)

85f8652ee23d438383cc726c15f75ddb.jpg
您需要登录后才可以回帖 登录 | 注册

本版积分规则

EDA365公众号

关于我们|手机版|EDA365电子论坛网 ( 粤ICP备18020198号 )

GMT+8, 2019-11-22 16:34 , Processed in 0.109375 second(s), 23 queries .

深圳市墨知创新科技有限公司

地址:深圳市南山区科技生态园2栋A座805 电话:19925233282

快速回复 返回顶部 返回列表