犯罪者は、SensorID攻撃と呼ばれる新しいマルウェア戦術を考案し、AndroidおよびiOSデバイスのセキュリティを克服することができます。. これらのデバイスのセンサーを悪用してユーザーを追跡するように設計されています. これにより、ハッカーがこれらのデバイスに簡単に侵入できるため、この脆弱性の影響は非常に深刻です。. CVE-2019-8541アドバイザリで追跡されています.
CVE-2019-8541: SensorID攻撃は、AndroidおよびiOSデバイスをスパイするために使用されます
セキュリティ研究者は、被害者のデバイスからハッカーがセンサーデータを取得することに依存する新しいマルウェア攻撃手法を発見しました。 これには、AndroidとiOSの両方の所有者が含まれます. いわゆる SensorsID インターネット全体で所有者を追跡するために使用できます. これは、 工場で設定されたキャリブレーションの詳細の弱点 —特定の権限を要求することなく、アプリケーションから自由にアクセスできます. これは、次のコンポーネントからのデータの収集として説明されています:
- ジャイロスコープ
- 磁力計
- 加速度計
SensorID攻撃は、Webサイトとアプリの両方からアクセスできるデータを分析することによって実行されます. これは、ハッカーがインターネット全体でユーザーを追跡するために、そのようなデータキャプチャ要素を簡単に作成できることを意味します. 一意の署名を取得すると、次の目的で使用できます。 被害者のデバイスに指紋を付ける これはインターネット全体で有効です. この特定の攻撃についてさらに心配しているのは、 AndroidよりもiOSデバイスに影響を与える. この理由は、デフォルトでは、センサーは組み立てラインで調整され、ほとんどのAndroidデバイスは初期設定などの特定のイベントで自分自身を調整するためです。. この攻撃が非常に危険であると見なされる理由は、抽出された指紋の各セットを一意の識別子として使用できるためです。. このセンサーキャリブレーションフィンガープリントは、工場出荷時にリセットしても変更されません.
アップル iOS用のパッチをリリース この問題に対処するために3月に問題を修正しました. 解決策は、キャリブレーション出力にランダムノイズを追加することでした. 関連する脆弱性はで追跡されます CVE-2019-8541 これは、Webブラウザでのこの手法の乱用について説明しています. その説明は次のようになります:
ChakraスクリプトエンジンがMicrosoftEdgeのメモリ内のオブジェクトを処理する方法に、リモートでコードが実行される脆弱性が存在します, 別名 “Chakraスクリプトエンジンのメモリ破損の脆弱性。” これはMicrosoftEdgeに影響します, ChakraCore
The 完全なセキュリティレポート ここからアクセスできます. 心配しているユーザーは、これに移動することでデバイスが影響を受けるかどうかを確認できます デモページ.
マーティン・ベルトフ
マーティンはソフィア大学で出版の学位を取得して卒業しました. サイバーセキュリティ愛好家として、彼は侵入の最新の脅威とメカニズムについて書くことを楽しんでいます.
フォローしてください: