Краще не встановлювати на смартфон: популярні застосунки можуть шпигувати за вами

Небезпеку несуть в собі програми для автоматизації, включаючи нативні програми, такі як Apple Shortcuts та Bixby Routines на телефонах Samsung, а також подібні сторонні програми, такі як Tasker та IFTTT, йдеться на офіційному сайті університету.

За допомогою цих програм користувачі можуть налаштовувати такі функції, як автоматичне зменшення гучності телефону в школі чи на роботі, сортування фотографій у певні папки, процедури для пристроїв розумного дому, таких як освітлення та термостати, або запуск певного списку відтворення, коли користувач сідає в машину.

Як зазначається в пресрелізі, студенти-волонтери клініки Madison Tech Clinic, які допомагають допомогти жертвам насильства, помітили, що деякі кривдники користувалися програмами автоматизації, такими як Apple Shortcuts, щоб швидко та легко захопити пристрої жертв. Через особливості цих програм користувачам було важко виявити цифрові вторгнення.

"Завдяки всім можливостям цих програм для автоматизації ви можете виконувати низку дій, які раніше вимагали б більшої технічної складності, як-от встановлення шпигунського програмного забезпечення або використання GPS-трекера. Але тепер партнеру, який вчиняє насильство, потрібен лише трохи часу, щоб налаштувати ці можливості на пристрої", — пояснив доцент кафедри електротехніки та комп'ютерної інженерії Кассем Фаваз.

За словами дослідників, кривдник, який має доступ до телефону іншої особи навіть на кілька хвилин, може налаштувати автоматизовані процедури, які передадуть інформацію про місцеперебування чи текстові повідомлення, або дозволять йому перевантажувати чи керувати телефоном, знімати несанкціоновані відео та видавати себе за іншу особу, серед іншого.

Кожна з цих автоматизацій діє як мінізастосунок однак, телефони та планшети не сприймають їх як окремі програми. Іншими словами, на відміну від звуків, значків або банерів, які сповіщають користувачів, наприклад, про отримання текстового повідомлення, автоматизації не запускають сповіщення, коли вони активовані або працюють. Це означає, що шкідливі дії можуть залишитися непоміченими.

Докторантка факультету комп'ютерних наук Ширлі Чжан та студент факультету комп'ютерних наук Джейкоб Вервельде з'ясували, як зловмисники можуть використовувати програми автоматизації. Після цього дослідники розробили систему аналізу на основі ШІ для виявлення небезпечних комбінацій клавіш. Зрештою, вони знайшли 1014 комбінацій, які, якщо їх розмістити на чиємусь пристрої, можуть призвести до зловживань.

Тестування підтвердило, що ці 1014 комбінацій клавіш можна використовувати для надсилання шкідливих електронних листів з облікового запису іншої особи, перевантаження телефону, щоб він був непридатним для використання, блокування користувача, увімкнення режиму польоту та крадіжка фотографій. Все це можна робити, не залишаючи помітних слідів. Про ці проблеми команда сповістила технологічні компанії.

"Одна компанія сказала нам, що користувачі несуть відповідальність за свої пристрої, і вони повинні створювати надійні паролі та переконатися, що пристрої недоступні для інших людей. Але це не відображає реальності. У стосунках, де панує насильство, все відбувається не так", — зазначила Чжан.

Аналіз також показав, що традиційні стратегії безпеки є малоефективним. Налаштування дозволів застосовуються до програм, а не до окремих автоматизацій, сповіщення можна легко вимкнути, а сторонні детектори шкідливого програмного забезпечення не сканують на наявність шкідливих автоматизацій.

Нагадаємо, дослідники кібербезпеки звернули увагу на нову хвилю хакерських атак, пов’язану з програмою для крадіжки інформації на основі Python під назвою PXA Stealer.

Фокус також повідомляв, що хакери почали використовувати штучний інтелект для зламу хмарних сховищ, вдаючись до соціальної інженерії на основі діпфейків.