Родительский контроль на Android сможет обойти даже ребенок

Родительский контроль на Android сможет обойти даже ребенок

Родительский контроль на Android сможет обойти даже ребенок

Восемь Android-приложений для родительского контроля, суммарно собравшие свыше 20 млн загрузок, содержат уязвимости, грозящие обходом выставленных ограничений. Некоторые проблемы, по данным SEC Consult, позволяют добраться до конфиденциальной информации, в том числе на других устройствах в домашней сети.

Специализированные интернет-фильтры, призванные оградить детей от нежелательного контента, хранят и передают большие объемы конфиденциальной информации — такой как установленные приложения, контакты, фото, данные геолокации, метаданные вызовов, содержание СМС-сообщений. Выявленные уязвимости не только сводят на нет основную задачу такого софта, но также ставят под угрозу сохранность этих данных и безопасность устройств детей и родителей.

Для исследования были отобраны восемь программ родительского контроля, доступных в Google Play:

  • Familytime (> 1 млн загрузок),
  • Boomerang (> 100 тыс. загрузок),
  • Quostodio (> 1 млн загрузок),
  • Wondershare (> 1 млн),
  • Find My Kids (> 10 млн),
  • Parental Control Kroha (> 1 млн),
  • Kids Place Parental Controls (> 5 млн),
  • Kidssecurity Parental Control (> 1 млн).

Как оказалось, все они позволяют обойти ограничения, выставленные родителями, посредством отзыва разрешений — через настройки Android или переходом в безопасный режим. Речь идет о таких разрешениях, как политики администрирования, история использования, спецвозможности, наложение окна. Некоторые испытуемые приложения пытаются воспрепятствовать такому вмешательству — например, с помощью оверлея поверх системных настроек.

Одна из программ родительского контроля из-за неадекватного управления сессиями позволяла расширить права других приложений ребенка через API. Это тоже грозит снятием всех ограничений — от имени родителя. Еще одно спецприложение открывает возможность для считывания метаданных на другом устройстве через API.

Некоторые испытуемые проги допускают использование клиент-серверного приложения ADB (Android Debug Bridge) для создания резервных копий. В итоге злоумышленник сможет с его помощью добраться до бэкапа и украсть конфигурационные и другие закрытые данные, хранимые на смартфоне.

Исследователи также проверили на уязвимость веб-панели мониторинга для родителей. Оказалось, что в двух случаях можно провести XSS-атаку с целью выполнения различных действий на устройстве ребенка от имени родителя. Уязвимость тоже позволяет снять текущие ограничения, а также получить доступ к учетным данным пользователя (родителя).

Несколько приложений-фильтров допускают передачу данных открытым текстом (в виде опции), что открывает возможность для атаки «человек посередине» (MitM). Злоумышленник сможет таким образом завладеть учетками и ПДн. В этом случае не спасет даже такая защита, как закрепление сертификатов (certificate pinning), так как ее можно обойти с помощью специального скрипта для фреймворка Frida.

Некоторые сторонние серверы, с которыми контактируют программы родительского контроля, отслеживают не только использование софта и веб-панели, но также движения курсора мыши и клики — таким трекингом занимается, в частности, сервис mc.yandex.ru, получающий данные от Find My Kids.

О своих находках SEC Consult сообщила вендорам. После выпуска патчей аналитики обещают опубликовать другие подробности.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Минпромторг прорабатывает систему кибербезопасности для автомобилей

Минпромторг заказал обоснование для внедрения в России национальной системы кибербезопасности автомобилей. Ведомство заинтересовала возможность злоумышленников вторгаться в работу систем управления автомобилями.

Как узнало издание «Газета Ру», Минпромторг РФ заказал проведение исследования, направленного на изучение инцидентов в безопасности, которые касались транспортных средств, создать методы анализа защиты программного обеспечения электронных блоков управления автомобилей и разработать для этого нормативно-правовую базу.

В 2023 году на выставке «Иннопром» в Казани была представлена облачная система безопасности подключенных транспортных средств. Ее разработчиками являлись ФГУП «НАМИ», «Лаборатория Касперского» и АО «ГЛОНАСС».

Как отметили опрошенные изданием эксперты, пока модель угроз для автотранспорта отсутствует. Нет четкого портрета злоумышленника, но при этом источники угроз весьма разнообразны.

Они могут привести к различным негативным последствиям, от активации несанкционированных платных подписок до создания аварийных ситуаций из-за вмешательства в работу различных систем автомобиля.

Автотранспорт действительно содержит уязвимые компоненты. Бортовые системы автомобилей были названы среди потенциально уязвимых приемников спутниковой навигации.

Кроме того, опасные уязвимости не так давно были найдены в информационно-развлекательном блоке Mazda Connect, эксплуатация одной из которых грозит вмешательством в работу двигателя, трансмиссии и тормозной системы.

Внедрение такой системы следует начинать на стадии проектирования автомобилей. Как предупреждают эксперты, на уже эксплуатируемые машины, по крайней мере, легковые, устанавливать довольно дорогостоящие системы может оказаться экономически нецелесообразным.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru