Kako hakovati smart telefon komandama sakrivenim u YouTube videu

Vesti, 12.07.2016, 07:30 AM

Grupa istraživača sa Univerziteta u Kaliforniji, Univerziteta Džordžtaun i Berklija (pdf) pokazali su kako bi hakeri pomoću komandi sakrivenih u YouTube videima mogli kompromitovati smart telefone, pod uslovom da telefoni imaju Appelov Siri ili Google Now.

Napad se izvodi kada korisnik gleda “zaraženi” YouTube video koji sadrži skrivene komande.

Moguće je čak da smart telefon izvrši komadnu sakrivenu u videu čak i ako se video pusti na drugom uređaju, desktop ili laptop računaru, smart televizoru, tabletu ili drugom smart telefonu, pod uslovom da je to dovoljno blizu da telefon “čuje” i protumači komande sakrivene u videu koji se emituje sa uređaja u blizini.

Takve glasovne komande mogu biti nerazumljive ljudima ali ih uređaji mogu protumačiti. Funkcije koje omogućavaju filtriranje zvuka a koje imaju Siri i Google Now mogu da očiste zvukove i izvrše komande. Ljudsko uho bi možda moglo da ih čuje ako korisnik zna da se one emituju, ali ih inače čovek ne bi primetio.

Na ovaj način, hakeri bi mogli izdati komande uređajima da posete neke sajtove, preuzmu i instaliraju malvere itd.

Moguće je sprečiti da korisnik primeti da je uređaj dobio komandu: zvučni signali koji bi ukazali da je uređaj dobio komandu mogli bi bili maskirani zvukom za koji bi uređaj takođe dobio komandu da ga emituje u isto vreme. Mada, to čak i nije neophodno jer korisnici vrlo često ignorišu obaveštenja.

Postoji način na koji proizvođači smart telefona mogu sprečiti napade kao što su ovi, tako što bi korisnici morali da potvrde glasovne komande preko audio CAPTCHA i podešavanjem filtera tako da dozvoljavaju normalan zvuk i da uklanjaju skrivene glasovne komande.

Osim toga, asistenti koje aktivira glas mogu biti naučeni da razlikuju komande koje izdaje korisnik od komandi računara, tako da ignorišu ove druge.

Sličan napad su prošle godine demonstrirali istraživači Francuske agencije za mrežnu i informatičku bezbednost ANSSI. Oni su koristili radio talase da bi telefonima koji imaju Siri ili Google Now slali komande ali je uspeh tog napada bio uslovljen time da su ciljani uređaji morali imati uključene slušalice sa mikrofonom.