Back to top

Уязвимость Android-устройств угрожает безопасности криптокошельков

Ошибка в работе одной из служб Android может привести к взлому криптовалютного кошелька или другого финансового приложения.

Уязвимость обнаружена в процессе MediaProjection. Она позволяет удаленно делать скриншоты и захватывать аудиоконтент без подтверждения со стороны пользователя. Сделанный во время ввода логина и пароля снимок экрана позволит злоумышленнику получить идентификационные данные кошелька. При этом перехвачена может быть и информация при двухфакторной аутентификации.

Риск взлома актуален для четверти пользователей Android. Ошибка обнаружена на платформах Lollipop, Marshmallow и Nougat. В более ранних версиях ОС функции MediaProjection были доступны только для приложений системного уровня.

Когда хакер пытается начать запись экрана, выводится всплывающее окно, информирующее пользователя о начале сбора данных. Однако злоумышленники могут маскировать его с помощью оповещений других приложений - технологии «tapjacking». Кроме этого уведомления никакого механизма контроля доступа к функциям MediaProjection нет, поэтому сведения могут быть легко перехвачены мошенниками.

Ошибка исправлена в версии Android 8.0 Oreo. Более ранние платформы по-прежнему уязвимы. Всем пользователям мобильных приложений для доступа к криптокошелькам необходимо как можно скорее обновить операционную систему своего устройства.