Rsac: kijkt iemand elke keer dat u uw smartphone aanraakt?

Keyloggers zijn vervelende kleine programma's die op uw pc staan ​​en ijverig elke toetsaanslag opnemen. Als u iemands bankwachtwoorden wilt stelen, zijn keyloggers het perfecte hulpmiddel. Tijdens de RSAC 2014 toonden Square's Security Engineering Manager Nathan McCauley en Trustwave's Senior Security Consultant Neal Hindocha aan dat hetzelfde doen op een touchscreen-smartphone helemaal niet moeilijk is.

Vingers vinden

De beste manier om aanraakinformatie op iOS te onderscheppen is via 'methode swizzling'. McCauley zei dat dit "als een man-in-the-middle-aanval voor methodeaanroepen binnen het besturingssysteem was". Als je weet dat er een bepaalde methode is die wordt aangeroepen, legt McCauley uit, kun je een bibliotheek invoegen die de gebeurtenis onderschept en registreert voordat je de gebeurtenis als normaal doorgeeft. Het praktische resultaat is dat je allerlei informatie kunt verzamelen - zelfs screenshots - zonder de prestaties van de telefoon te beïnvloeden.

Doorgaans vereist dit dat de iPhone eerst wordt gejailbreakt. De presentatoren erkenden echter eerder in de week vrijgegeven onderzoek van FireEye waaruit bleek dat dit niet noodzakelijk het geval was. Totdat Apple iOS bijwerkt, kunnen gebruikers mogelijk worden gecontroleerd, zelfs als hun apparaat niet jailbreakt.

Op geroote Android-apparaten is het nog eenvoudiger. Hindocha gebruikte de "getevent" -tool, die aanwezig is op alle Android-apparaten, om de X- en Y-coördinaten van elke aanraking te loggen. Hij kon ook getevent gebruiken om veegbewegingen op te nemen en wanneer hardwareknoppen werden ingedrukt.

Voor Androids die niet zijn geroot, wat de meeste van hen zijn, kun je nog steeds getevent gebruiken. Om dit te doen, moet de telefoon USB-foutopsporing ingeschakeld hebben en verbonden zijn met een computer. Met behulp van de Android Debugging Bridge kon Hindocha de verhoogde rechten krijgen die nodig zijn om getevent uit te voeren.

Natuurlijk staan ​​Android-apparaten niet standaard in de foutopsporingsmodus (en we raden u ten zeerste aan deze nooit te activeren). Ook beperkt fysieke toegang tot een apparaat de effectiviteit van deze aanval. Hindocha heeft echter aangetoond dat het theoretisch mogelijk is om een ​​combinatie van kwaadaardige live wallpapers te gebruiken - waarvoor geen speciale machtigingen nodig zijn om aanraakgegevens te bekijken - en overlay-apps om aanraakinformatie op niet-geroote apparaten te onderscheppen.

Je hebt de aanraking

Toen ze eenmaal hadden uitgezocht hoe ze de aanraakgegevens konden krijgen, moesten de onderzoekers uitzoeken wat ze ermee moesten doen. Aanvankelijk namen ze aan dat het nodig zou zijn om screenshots te maken om de aanraakinformatie naar iets nuttigs te mappen. Maar Hindocha zei dat dat niet het geval was. "Naarmate we vorderden, realiseerde ik me dat ik vrij eenvoudig kon achterhalen wat er gebeurde, alleen al door naar de stippen te kijken, " zei hij.

De truc was op zoek naar specifieke aanwijzingen om aan te geven wat voor soort input er aan de hand was. Bepaalde bewegingen van slepen en tikken kunnen Angry Birds zijn, terwijl vier tikken en vervolgens een vijfde rechtsonder op het scherm waarschijnlijk een pincode is. Hindocha zei dat ze konden vertellen wanneer e-mails of sms-berichten werden geschreven omdat het gebied waar de backspace-toets zich bevindt herhaaldelijk werd geraakt. "Mensen maken veel fouten als ze e-mails schrijven, " legde hij uit.

Veilig blijven

De onderzoekers merkten op dat dit slechts één methode was om vast te leggen wat er in een smartphone was getypt. Schadelijke toetsenborden kunnen bijvoorbeeld net zo gemakkelijk uw bankwachtwoorden stelen.

iOS-gebruikers die bezorgd zijn over touchlogging, moeten voorkomen dat hun apparaten jailbreaken, hoewel het FireEye-onderzoek suggereert dat dit niet genoeg is. Gelukkig, zei McCauley, is methode-swizzling vrij eenvoudig voor slimme apparaatbeheerders om te detecteren.

Voor Android is het probleem een ​​beetje ingewikkelder. Nogmaals, het rooten van een apparaat stelt je in staat om aan te vallen. Als je de foutopsporingsmodus inschakelt, krijgen aanvallers ook toegang tot je apparaat. Deze zijn normaal niet aanwezig op stock-Android-telefoons, hoewel McCauley een belangrijke uitzondering vormde. Hij zei dat ze tijdens hun onderzoek ontdekten dat telefoons die werden geleverd door een niet nader genoemde fabrikant zo waren geconfigureerd dat aanvallers toegang tot getevent konden krijgen.

Hoewel hun onderzoek praktische toepassingen heeft, is het nog steeds grotendeels theoretisch. Onze kranen en vegen zijn veilig, althans voorlopig.