Mais de 1.300 aplicativos Android detectados coletando dados mesmo você negando permissões - Anonymous Hacker

[Latest News][10]

Análise de Vulnerabilidade
ANDROID
ANONYMOUS
ANTI-DDOS
ANTI-SPYWARES E ADWARES
APK PRO
APOSTILAS
CIÊNCIA
CURSO PHP
CURSO TCP / IP
CURSOS
CYBORG
CYBORG FALÇÃO
DDOS
DEEPWEB
DICAS
DOCUMENTARIO
DoS
EXPLOIT
FACEBOOK
Ferramentas de rede
FORENSE DIGITAL
INVASÕES
IPHONE
JOGOS
KALI LINUX
Lixão
MAC OS
Malware
MySQL
NOTÍCIAS
PAGINA FAKE
PHP SCRIPT
Programa De Invasao
PROGRAMAÇÃO
PROGRAMAS
PROXY
SCRIPTS
SEGURANÇA
SHELL
SISTEMA OPERACIONAL
TÉCNICA DE INVASÃO
Termux
VIDEOS
VPN
WHATSAPP
WINDOWS
Wireless Attacks
z=

Mais de 1.300 aplicativos Android detectados coletando dados mesmo você negando permissões

Mais de 1.300 aplicativos  Android detectados coletando dados mesmo se você negar permissões

Os smartphones são uma mina de ouro de dados confidenciais, e aplicativos modernos funcionam como escavadores que coletam continuamente todas as informações possíveis de seus dispositivos.

O modelo de segurança dos sistemas operacionais móveis modernos, como Android e iOS, baseia-se principalmente em permissões que definem explicitamente quais serviços confidenciais, recursos do dispositivo ou informações do usuário um aplicativo pode acessar, permitindo que os usuários decidam quais aplicativos podem acessar.

No entanto, novas descobertas feitas por uma equipe de pesquisadores do International Computer Science Institute, na Califórnia, revelaram que os desenvolvedores de aplicativos móveis estão usando técnicas obscuras para coletar dados dos usuários, mesmo depois de negarem permissões. Em sua palestra " 50 maneiras de despejar seus dados " [ PDF

Na PrivacyCon organizada pela Federal Trade Commission na última quinta-feira, os pesquisadores apresentaram suas descobertas que descrevem como mais de 1.300 aplicativos Android estão coletando dados de geolocalização e identificadores de telefone precisos dos usuários, mesmo quando explicitamente negaram as permissões necessárias.
"Os aplicativos podem contornar o modelo de permissão e obter acesso a dados protegidos sem o consentimento do usuário usando canais ocultos e secundários", escreveram os pesquisadores.

"Esses canais ocorrem quando há um meio alternativo para acessar o recurso protegido que não é auditado pelo mecanismo de segurança, deixando o recurso desprotegido."

Pesquisadores estudaram mais de 88 mil aplicativos da Google Play Store, dos quais 1.325 foram violados no sistema operacional Android, usando soluções alternativas ocultas que permitem a busca de dados pessoais de usuários, como metadados armazenados em fotos e Wi-Fi. conexões.

Dados de localização - Por exemplo, os pesquisadores encontraram um aplicativo de edição de fotos, chamado Shutterfly, que coleta dados de localização de um dispositivo extraindo coordenadas de GPS dos metadados de fotos, como um canal lateral, mesmo quando os usuários se recusaram a conceder permissão ao aplicativo acessar dados de localização.

"Observamos que o aplicativo Shutterfly (com.shutterfly) envia dados de geolocalização precisos para seu próprio servidor (apcmobile.thislife.com) sem ter permissão de localização."

Além disso, deve-se notar que, se um aplicativo puder acessar a localização do usuário, todos os serviços de terceiros incorporados nesse aplicativo também poderão acessá-lo.

Identificador de telefone - Além disso, os pesquisadores encontraram 13 outros aplicativos com mais de 17 milhões de instalações que estão acessando o IMEI do telefone, um identificador de telefone persistente, armazenado desprotegido no cartão SD do telefone por outros aplicativos.

"O Android protege o acesso ao IMEI do telefone com a permissão READ_PHONE_STATE. Identificamos dois serviços on-line de terceiros que usam diferentes canais secretos para acessar o IMEI quando o aplicativo não tem a permissão necessária para acessar o IMEI".

Segundo os pesquisadores, bibliotecas de terceiros fornecidas por duas empresas chinesas, Baidu e Salmonads, também estão usando essa técnica como um canal secreto para coletar dados que, de outra forma, não teriam permissão para acessar.

Endereço Mac - Outros aplicativos foram encontrados usando o endereço MAC do ponto de acesso Wi-Fi para descobrir a localização do usuário. Os aplicativos que funcionam como controles remotos inteligentes, que não precisam de informações de localização para funcionar, foram encontrados coletando dados de localização dessa maneira.

"Descobrimos empresas obtendo os endereços MAC das estações base Wi-Fi conectadas do cache ARP. Isso pode ser usado como um substituto para dados de localização. Encontramos 5 aplicativos explorando essa vulnerabilidade e 5 com o código pertinente para isso". pesquisadores escreveu.

"Além disso, saber o endereço MAC de um roteador permite vincular dispositivos diferentes que compartilham o acesso à Internet, o que pode revelar relações pessoais de seus respectivos proprietários ou permitir o rastreamento entre dispositivos."

Em seu estudo, os pesquisadores testaram com sucesso esses aplicativos em versões instrumentadas do Android Marshmallow e do Android Pie.

Pesquisadores relataram suas descobertas ao Google em setembro passado, e a empresa pagou a sua equipe uma bug bounty por divulgar responsavelmente os problemas, mas infelizmente, as correções serão lançadas com o lançamento do Android Q, que será lançado no final deste verão.

A atualização do Android Q resolverá os problemas ocultando dados de localização em fotos de aplicativos de terceiros, além de obrigar os aplicativos que acessam o Wi-Fi a terem permissão para acessar os dados de localização.

Até lá, os usuários são aconselhados a não confiar em aplicativos de terceiros e desativar as configurações de permissão de local e ID para aplicativos que realmente não precisam deles para funcionar. Além disso, desinstale qualquer aplicativo que você não use regularmente.

Sobre

trabalho com segurança da informação a 13 anos, grande parte desse tempo como professor. Fiz meu bacharelado em ciência da computação, especialização em segurança da informação e logo após, mestrado em ciência da informação.

Nenhum comentário:

Postar um comentário

Start typing and press Enter to search