Приложения на Android могут самостоятельно делать фотографии

Не слишком приятные новости для пользователей Android: программист Шимон Сидор выявил в данной операционной системе уязвимость, позволяющую установленным на устройства приложениям фотографировать без ведома владельца и безо всяких уведомлений. Сидор описал механизм действия угрозы, а также дал некоторые наставления по защите от неё.

Нетрудно догадаться, что нежеланные фотографии могут нанести огромный вред пользователю. Программист заявляет, что при фотографировании или съёмке видео на экране обязательно должно отображаться какое-либо уведомление, процесс должен быть на виду. Конечно, если пользователь видит, как приложение делает фотографии, он сразу же понимает суть проблемы. А что, если он не увидит?

Шимон Сидор уверяет, что создал экспериментальное приложение, которое хоть и показывает пользователю статус съёмки, но размером 1x1 пиксель. Поверьте, это очень мало. Таким образом, достаточно всего лишь крохотного ярлычка, и хакер сможет в любой момент фотографировать с вашего устройства и больше того — отсылать отснятый материал к себе на сервер.

Шимон Сидор выложил видео, в котором можно увидеть демонстрацию того, как приложение может продолжать съёмку и при выключенном телефоне:

Чтобы защититься от угроз такого типа, Сидор предлагает простой алгоритм:

• Обращать внимание на то, какие именно разрешения приложение запрашивает при установке (например, простому блокноту камера совсем без надобности)
• Следить за своим аккаунтом Google и периодически менять пароль от него, так как при наличии доступа к учетной записи злоумышленники могут устанавливать приложения на девайс дистанционно
• Периодически удалять неиспользуемые приложения
• Следить за тем, сколько процентов батареи и сколько мобильного трафика расходует каждая программа. Если какое-либо значение покажется чрезмерно высоким, самое время задуматься о вредоносности приложения
• Регулярно заходить в меню, где показываются приложения, работающие в фоновом режиме, и смотреть, не затесался ли там лишний засланный казачок. Опять же по типу блокнота, совершенно не приспособленного для долговременной работы
• «Вырубать» приложение не свайпом, а путём перехода на его страницу и нажатием кнопки «принудительная остановка».

Конечно, полностью исключить угрозу невозможно, но с этим алгоритмом можно хотя бы немного себя обезопасить. Надеемся, Google предпримет меры по устранению обнаруженной уязвимости.