Mobilní telefon už dávno neslouží jen k telefonování nebo prohlížení sociálních sítí. Pro mnohé z nás se stal prodlouženou rukou našeho osobního počítače. Možnost ovládat monitor z pohodlí gauče pomocí smartphonu, který supluje bezdrátovou klávesnici nebo myš, zní lákavě a pohodlně. Jenže zdánlivá technologická idylka může velmi rychle skončit noční můrou.
Bezpečnostní experti totiž narazili na kritické zranitelnosti v populárních aplikacích, které mají nahrazovat klávesnici nebo myš. A do svých zařízení už si je nainstalovaly miliony uživatelů po celém světě, aniž by o jakémkoliv riziku věděly.
Výzkumníci z centra Black Duck Cybersecurity Research Center (CyRC) konkrétně upozornili, že tři nesmírně populární nástroje pro platformu Android, konkrétně Telepad, PC Keyboard a Lazy Mouse, obsahují fatální bezpečnostní trhliny. Tyto aplikace přitom dohromady nasbíraly přes dva miliony stažení, a to ve verzích zdarma i v placených variantách. A pro hackery jsou doslova otevřenými dveřmi.
Mohlo by vás zajímat
Útočník vidí každé kliknutí
Princip fungování těchto aplikací je jednoduchý. Na svém počítači spustíte serverový program, propojíte ho s aplikací v telefonu a následně přenášíte pohyby prstu a údery do virtuální klávesnice přímo do desktopu. Problém tkví v tom, jakým způsobem byla tato komunikace naprogramována. Vývojáři totiž trestuhodně podcenili základy kybernetické bezpečnosti. Analýza odhalila slabé nebo zcela chybějící mechanismy autentizace, absenci autorizace a celkově nezabezpečený přenos dat.
Pro běžného uživatele to znamená jediné: Pokud se útočník ocitne ve stejné síti nebo dokáže zranitelnosti využít vzdáleně, získá prakticky neomezený přístup k tomu, co na svém počítači děláte. Takže může vzdáleně spouštět libovolný škodlivý kód, případně odposlouchávat stisky kláves.
Tímto způsobem se pak k hackerům mohou snadno dostat citlivá hesla, přístupy k bankovním účtům nebo soukromé zprávy. Jedinou drobnou útěchou je fakt, že neexistuje univerzální metoda, kterou by šlo napadnout všechny tři aplikace najednou, protože každá z nich trpí trochu jinou chybou.
Fotogalerie
Mrtvý software jako tikající bomba
Ještě více zarážející je přístup samotných autorů těchto programů. Bezpečnostní experti se je pokoušeli opakovaně kontaktovat a na chyby upozornit, aby mohlo dojít k nápravě. Vývojáři však ustrnuli v absolutním mlčení. Aplikace jsou navíc zjevně opuštěné a nikdo je už delší dobu neudržuje ani neaktualizuje. V ekosystému Androidu, kde se neustále objevují nové formy malwaru a exploitů, je přitom pravidelná údržba softwaru naprostou nutností.
Naštěstí si závažnost situace začíná uvědomovat i samotný Google, který spravuje obchod Google Play. Ten aktuálně pracuje na nové funkci, která sice tyto konkrétní aplikace retrospektivně neopraví, ale do budoucna výrazně zvýší bezpečí uživatelů.
Obchod Play by měl nově viditelně varovat před starými a opuštěnými aplikacemi, u kterých vývojáři ukončili podporu nebo které byly z nějakého důvodu odstraněny. Uživatel tak dostane jasné echo, že instaluje softwarový skanzen, a bude se moci včas rozhodnout, zda mu takové riziko za trochu pohodlí skutečně stojí. Pokud ale aktuálně používáte zmíněné aplikace, měli byste je ihned smazat.
