Checkmarx spesialister avslørte detaljer av en farlig sårbarhet i en NFC-program for Android. Angripere kan utnytte en bug som gjør det mulig å manipulere NFC-tagger for å omdirigere ofre til et ondsinnet nettsted og andre formål.
Than utviklere fikset feilen i den nyeste versjonen av OS, men vil ikke fjerne det i tidligere versjoner.Feilen ble identifisert i Tags system program utviklet for å behandle signaler fra NFC-etiketter. Dersom en slik brikke er funnet innenfor enhetens radius operasjon, programmet viser et vindu med å utføre en handling – For eksempel, følg linken eller ringe. Informasjon sikkerhetseksperter har funnet at en cybercriminal kan forstyrre driften av tagger og uavhengig vise slike meldinger.
“Dette sikkerhetsproblemet gjør at en ondsinnet applikasjon for å simulere motta en NFC-brikke, og kan simulere alle typer koder, slik som NDE poster. Ulempen for hackere er at brukeren vekselvirkning er nødvendig for å utløse forskjellige angrepsscenarioer”, - rapport Checkmarx spesialister.
Forskere har beskrevet to angrepsscenarioer. Den første innebærer å åpne en dialogboks selv uten å detektere en NFC-brikke, den andre innebærer endring av innholdet av en lovlig melding.
Ved å installere et ondsinnet program på enheten, en angriper kan erstatte telefonen eller koblingen som vises på skjermen for å tvinge brukeren til å gå til et phishing-område eller ringe til en betalt nummer. Et angrep krever interaksjon med offeret, som reduserer nivået av trusselen.
“Det er viktig å merke seg at selv om sårbarheten kan smi noen NFC-brikke, behovet for brukerinteraksjon reduserer den skadelige innvirkningen betraktelig”, - skriv Checkmarx eksperter.
Årsaken til CVE-2019-9295 bug er utilstrekkelig program-nivå tillatelse sjekking. Ifølge informasjonssikkerhetsanalytikere, I noen tilfeller, malware vil ikke engang trenger utvidede rettigheter, siden det vil samhandle med OS gjennom legitime Tags program.
Google utviklere fikset en bug i Android 10 ved å slippe en lapp som del av plasteret kit, utgitt på September 3. Sårbarheten finnes i tidligere OS-versjoner – de ikke har tenkt å gi ut oppdateringer for dem, bare sikkerhets anbefalinger.
Les også: En annen sårbarhet 0-dag oppdaget i Android
I juni i år, Japanske forskere utviklet en metode for hacking en NFC-tilkobling, som tillot å manipulere målenheten. Som en del av eksperimentet, forskerne klikket på en skadelig kobling og koblet til et trådløst nettverk uten kjennskap til offeret. Angrepet krevde en klumpete sett med utstyr, inkludert et kobbermatte, en transformator, og en liten datamaskin. derimot, Forfatterne hevder at angripere kan montere enhetene i en tabell eller en annen overflate.
