Уязвимость в Android-смартфонах таких производителей, как Google и Samsung, позволяла вредоносным приложениям записывать видео, делать фотографии и захватывать аудио, загружая контент на удаленный сервер без разрешения пользователя.

Уязвимость была обнаружена фирмой безопасности Checkmarx и была освещена сегодня изданием Ars Technica. Эта уязвимость могла оставить высокопоставленных лиц под угрозой несанкционированной записи своего окружения через их смартфоны.

Android разработан таким образом, чтобы запрещать приложениям доступ к камере и микрофону смартфона без разрешения пользователя, но благодаря этому конкретному эксплойту приложение могло использовать камеру и микрофон для записи видео и аудио без явного согласия пользователя. Все, что требовалось от приложения, — это получить разрешение на доступ к хранилищу устройства, что обычно предоставляется, поскольку большинство приложений запрашивают его.

Чтобы продемонстрировать, как работает уязвимость, Checkmarx создала приложение «proof-of-concept», которое на первый взгляд выглядело как погодное приложение, но на самом деле собирало огромные объемы данных в фоновом режиме.

Приложение могло делать снимки и записывать видео даже при выключенном экране телефона или закрытом приложении, а также получать доступ к данным о местоположении из фотографий. Оно могло работать в режиме скрытности, отключая звук затвора камеры, а также записывать двусторонние телефонные разговоры. Все данные могли быть загружены на удаленный сервер.

При использовании эксплойта экран атакуемого смартфона отображал камеру при записи видео или фотографировании, что позволяло пострадавшим пользователям узнать, что происходит. Это могло использоваться тайно, когда дисплей смартфона был вне поля зрения, или когда устройство было положено экраном вниз, при этом существовала функция использования датчика приближения для определения того, когда смартфон находился экраном вниз.

Google устранила уязвимость в своих телефонах Pixel с помощью обновления камеры, выпущенного в июле, и Samsung также устранила уязвимость, хотя точные сроки неизвестны. По сообщению Google:

«Мы благодарны Checkmarx за привлечение нашего внимания к этой проблеме и за сотрудничество с Google и партнерами Android для координации раскрытия информации. Проблема была устранена на затронутых устройствах Google посредством обновления приложения Google Camera через Play Store в июле 2019 года. Патч также был предоставлен всем партнерам.»

По сообщению Samsung:

«После получения уведомления об этой проблеме от Google мы выпустили исправления для всех затронутых моделей устройств Samsung. Мы ценим наше партнерство с командой Android, которое позволило нам выявить и напрямую решить эту проблему.»

По словам Checkmarx, Google заявила, что телефоны Android других производителей также могут быть уязвимы, поэтому устройства, открытые для атак, все еще могут существовать. Google не раскрыла конкретных производителей и модели.

Поскольку это ошибка Android, устройства Apple iOS не затронуты этой уязвимостью безопасности.

Неизвестно, почему приложениям удалось получить доступ к камере без разрешения пользователя. В электронном письме изданию Ars Technica Checkmarx предположила, что это может быть связано с решением Google интегрировать камеру с Google Ассистентом, функцией, которую могли реализовать и другие производители.