Hai ứng dụng Baidu làm lộ dữ liệu ‘nhạy cảm’ trên 1,4 tỷ điện thoại Android
Các chuyên gia bảo mật cảnh báo 2 ứng dụng của Baidu làm lộ dữ liệu ‘nhạy cảm’ trên 1,4 tỷ thiết bị, khiến họ có nguy cơ bị giám sát hay tấn công mạng.
Hai ứng dụng được các nhà nghiên cứu chỉ mặt điểm tên là Baidu Maps và Baidu App, đều đã bị gỡ khỏi Google Play vào tháng trước sau khi Google nhận được báo cáo.
Trên toàn cầu, cả hai ứng dụng được tải về tổng cộng 1,4 tỷ lượt. Theo các chuyên gia của bộ phận Unit42 thuộc Palo Alto Networks, chúng làm lộ dữ liệu trên điện thoại khiến bất kỳ ai tải về đều có nguy cơ bị giám sát. Trong báo cáo, họ viết rằng dữ liệu bị lộ làm cho người dùng có khả năng bị theo dấu suốt đời. Các ứng dụng được kiểm tra xuất phát từ nguồn Google Play, nhưng họ tin rằng, tất cả phiên bản trên các chợ khác đều bị ảnh hưởng.
Các nhà nghiên cứu phát hiện công cụ phát triển phần mềm (SDK) mang tên Push của Baidu trong các ứng dụng, bí mật gửi dữ liệu người dùng “nhạy cảm” về máy chủ Trung Quốc. Thông tin bao gồm mẫu máy, số IMSI và địa chỉ MAC. Gói dữ liệu tưởng như vô hại song theo Unit42, mã IMSI và IMEI đều được sử dụng để xác định danh tính và theo dõi người dùng, ngay cả khi họ đổi điện thoại. Chẳng hạn, IMSI là số mà hãng viễn thông cấp cho người dùng để xác định họ là một thuê bao.
Video đang HOT
“Các ứng dụng Android thu thập dữ liệu như IMSI có thể theo dõi người dùng suốt đời trên nhiều thiết bị. Ví dụ, nếu người dùng đổi thẻ SIM sang điện thoại mới và cài ứng dụng mà trước đó từng thu thập và truyền số IMSI, nhà phát triển ứng dụng sẽ xác định được người dùng đó”, báo cáo viết. “Dữ liệu bị lộ từ các ứng dụng Android và SDK đại diện cho vi phạm quyền riêng tư người dùng nghiêm trọng. Phát hiện hành vi như vậy là vô cùng quan trọng để bảo vệ quyền riêng tư của người dùng di động”.
Stefan Achleitner, nhà nghiên cứu trưởng của Unit42, cho biết, người dùng còn đối mặt với nguy cơ bị tội phạm mạng tấn công, vì nó có khả năng phát hiện và chuyển hướng cuộc gọi nhờ thông tin bị lộ. Một tin tặc có thể chuyển hướng cuộc gọi mà người dùng đang thực hiện đến ngân hàng để giả vờ làm đại diện ngân hàng, hỏi thông tin ngân hàng. Từ đây, chúng sẽ truy cập được tài khoản ngân hàng người dùng và đánh cắp tiền của họ.
Sau khi Palo Alto thông báo cho Google về các vấn đề hồi tháng trước, Google đã xác nhận phát hiện và gỡ hai ứng dụng vào ngày 28/10. Baidu App quay lại Google Play vào ngày 19/11 sau khi cập nhật, nhưng Baidu Maps vẫn bị cấm.
Baidu phủ nhận kết quả nghiên cứu của Palo Alto Networks dẫn tới ứng dụng của họ bị Google cấm. Công ty Trung Quốc cho biết, đang cập nhật Baidu Maps theo hướng dẫn của Google và hi vọng đưa ứng dụng lên Google Play vào đầu tháng 12.
Baidu khẳng định dữ liệu được thu thập dùng để kích hoạt tính năng Push như được nêu trong thỏa thuận quyền riêng tư.
Đầu năm nay, một nhà sản xuất Trung Quốc khác là Xiaomi bị phát hiện ghi lại thói quen duyệt web của người dùng thông qua ứng dụng Android, ngay cả khi họ dùng chế độ ẩn danh.
Chuyên gia bảo mật của Google được Facebook thưởng 60.000 USD
Natalie Silvanovich, nhà nghiên cứu bảo mật tại Google Project Zero, đã phát hiện ra lỗ hổng khi người dùng thực hiện cuộc gọi trên ứng dụng Messenger của nền tảng Android.
Natalie Silvanovich cho biết lỗ hổng nằm trong Giao thức mô tả phiên (SDP) của WebRTC. Đây là một định dạng chuẩn hóa được sử dụng trong việc trao đổi dữ liệu hình ảnh và âm thanh giữa hai điểm.
Chuyên gia bảo mật Natalie Silvanovich.
Những kẻ tấn công có thể đã khai thác lỗ hổng này bằng cách gửi một loại thông báo đặc biệt có tên SdpUpdate. Nó sẽ khiến cuộc gọi ngay lập kết nối với thiết bị của nạn nhân trước khi họ ấn trả lời. Theo Silvanovich, nếu thông báo này được gửi đến thiết bị của nạn nhân trong khi đang đổ chuông, nó sẽ giúp hacker nghe được âm thanh xung quanh như người ở đầu dây bên kia đã nhấc máy. Như vậy, việc nghe lén trở nên dễ dàng. Lỗ hổng được Natalie Silvanovich tìm thấy ở phiên bản Messenger 284.0.0.16.119.
Silvanovich đã mô phỏng từng bước cuộc tấn công trong báo cáo gửi tới Facebook ngày 6/10. Việc khai thác lỗi chỉ mất vài phút, nhưng kẻ tấn công sẽ phải là bạn bè với nạn nhân trên mạng xã hội để có quyền thực hiện cuộc gọi. Trong một bài đăng hôm 19/11 kỷ niệm 10 năm chương trình tìm kiếm lỗ hổng có thưởng Bug Bounty của mình, Facebook đã công bố mức thưởng 60.000 USD cho Silvanovich vì đã tìm ra một trong những lỗi nghiêm trọng nhất trên Messenger từ trước tới nay. Đây cũng là một trong ba phần thưởng săn lỗi cao nhất từng được Facebook trao. Silvanovich cho biết cô đã quyên góp toàn bộ tiền thưởng cho tổ chức phi lợi nhuận GiveWell.
"Sau khi khắc phục được lỗ hổng của Messenger, các nhà nghiên cứu bảo mật của chúng tôi đã áp dụng bổ sung một số biện pháp bảo vệ nhằm ngăn chặn vấn đề tương tự xảy ra trên các ứng dụng khác có sử dụng cùng giao thức thoại", Dan Gurfinkel, Giám đốc kỹ thuật bảo mật của Facebook viết trong bài đăng.
Facebook gần đây đã thay thế và mở rộng chương trình Bug Bounty bằng một chương trình khác có tên Hacker Plus, nhằm khuyến khích các nhà nghiên cứu tìm ra lỗ hổng trong nền tảng của hãng. Chỉ tính trong năm nay, Facebook cho biết mạng xã hội này đã được thông báo về gần 1.000 lỗ hổng bảo mật và chi hơn 1,98 triệu USD để thưởng cho các hacker từ hơn 50 quốc gia. Ngoài giải thưởng tiền mặt, các hacker này cũng được cung cấp quyền truy cập vào nhiều sản phẩm và tính năng mới của Facebook cũng như thư mời tham gia các sự kiện hàng năm của mạng xã hội này.
Silvanovich và nhiều nhà nghiên cứu tại Google Project Zero gần đây cũng đã xác định được nhiều lỗ hổng nghiêm trọng khác trong đó có lỗ hổng zero-day xuất hiện trên trình duyệt Chrome và các thiết bị di động của Apple và Microsoft Windows.
Chuyển đổi số và bảo mật đám mây trong bối cảnh đại dịch kéo dài Hội thảo CLOUDSEC năm nay sẽ diễn ra hoàn toàn trực tuyến, kéo dài trong 3 ngày gồm các bài keynotes quan trọng, 200 phiên thảo luận chuyên sâu riêng cùng 8 phòng lab thử nghiệm dành cho các chuyên gia bảo mật và đám mây. An ninh mạng trong thời kỳ chuyển đổi số là chủ đề được nhiều người quan tâm...