Украсть данные с вашего смартфона можно через Gmail

Исследователи USENIX Security Symposium в Сан-Диего обнаружили новый метод, позволяющий получать доступ к данным в пользовательских приложениях на смартфоне вне зависимости от того, на какой операционной системе он работает – Android, iOS или Windows Phone.

Кража информации происходит в режиме реального времени. Как поясняют исследователи, ранее предполагалось, что приложения на смартфоне не могут вмешиваться в работу друг друга. Оказалось, что это не так.

Всего лишь одно приложение, загруженное пользователем на смартфон, может значительно повлиять на другие установленные приложения и нанести вред ничего не подозревающему пользователю. Хотя исследователи USENIX проверяли свою методику на Android, они уверены, что она же применима и на iOS и Windows Phone.

Исследователи, вооружившись найденным методом, взламывали следующие приложения: Gmail (успех — 92%), H&R Block (92%), Newegg (86%), WebMD (85%), CHASE Bank (83%), Hotels.com (83%) и Amazon (48%).

Хотя методика и позволяет воровать данные из других приложений, она работает только при соблюдении определенных условий. Для начала, вредоносное приложение должно быть установлено на устройство. Таким приложением вполне может оказаться обычные бесплатные обои для Android.

Как только приложение установлено, исследователи могут получить доступ к общей статистики памяти процесса, причем этот доступ предоставляется без специальных разрешений. Общая память – стандартная для операционной системы функция, позволяющая процессам эффективно использовать общие данные.

Для кражи данных из других приложений, хакеры должны постоянно отслеживать происходящее на девайсе и атаковать его именно тогда, когда пользователь совершает нужное действие. Например – входит в свою учетную запись в приложении мобильного банкинга или аккаунт в Gmail. С помощью этой методики можно в реальном времени получить с девайса пользователя различные персональные данные: логин и пароль к сервисам, данные банковской карты и даже фотографии.

Источник: procontent.ru