Iako je bag navodno ispravljen, slike i poruke i dalje cure iz popularne Android aplikacije

Mobilni telefoni, 02.12.2020, 10:00 AM

Iako je bag navodno ispravljen, slike i poruke i dalje cure iz popularne Android aplikacije

Od kada su pre desetak dana otkriveni detalji o bagu u popularnoj Android aplikaciji GO SMS Pro, objavljene su dve nove verzije aplikacije u Google Play prodavnici, ali nijedna ne rešava u potpunosti problem sa bagom, zbog čega je privatnost 100 miliona korisnika aplikacije ugrožena.

Bag su 18. avgusta otkrili istraživači Trustwave SpiderLabsa u verziji 7.91 aplikacije koja je objavljena 18. februara ove godine. Istraživači su rekli da su oni od 18. avgusta više puta pokušali da kontaktiraju proizvođača aplikacije, ali da nisu dobili odgovor.

Bag ugrožava glasovne poruke, fotografije i video snimke koje šalju korisnici tako da haker ili neko ko je samo radoznao može kompromitovati bilo šta od sadržaja koji se deli između korisnika aplikacije. Problem je u načinu na koji se sadržaj prikazuje kada primaoci na svojim uređajima nemaju instaliranu aplikaciju GO SMS Pro, što dovodi do potencijalnog otkrivanja sadržaja koji je poslat.

Kada korisnik pošalje multimedijalnu poruku, onaj kome je poslata je može primiti čak i ako sam nema instaliranu aplikaciju. U tom slučaju, fajl se primaocu šalje kao URL putem SMS-a, tako da primalac može da klikne na link za prikaz fajla u prozoru pregledača. Problem je u tome što nije potrebna potvrda identiteta za pregled sadržaja, tako da svako ko ima link (a linkovi se mogu pogoditi) može da klikne na sadržaj.

Aplikacija je od kada je Trustwave upozorio na bag, tri puta ažurirana - jednom 29. septembra, i još dva puta prošlog meseca, 19. i 23. novembra. Trustwave je sada testirao obe verzije, tačnije v7.93 i v7.94 i otkrio da je bag i dalje tu, da su poruke i dalje dostupne, što “uključuje prilično osetljive podatke poput vozačkih dozvola, brojeva zdravstvenog osiguranja, pravnih dokumenata i, naravno, slika „romantičnije“ prirode“.

Na nesreću, sajber kriminalci su brzo iskoristili situaciju, jer je „na sajtovima poput Pastebina i Githuba objavljeno više alata i skripti da bi se to iskoristilo“, navodi Trustwave. „Nekoliko popularnih alata se ažurira svakodnevno i sada su već dostupne njihove treće ili četvrte revizije. Takođe smo videli hakerske forume kako direktno dele slike preuzete sa GO SMS servera.“

Što se tiče novih verzija, „čini se da [programer] pokušava da reši problem, ali potpuno rešenje još uvek nije dostupno u aplikaciji“, objasnili su istraživači. „Za v7.93 izgleda da su onemogućili slanje medijskih fajlova u potpunosti. Nismo uspeli ni da dodamo fajlove MMS poruci. U verziji v7.94 nije sprečena mogućnost otpremanja fajlova u aplikaciju, ali čini se da oni ne idu nigde... primalac ne dobija stvarni tekst ni sa fajlom ni bez njega. Izgleda da su u procesu pokušaja da reše osnovni problem.“

Trustwave je rekao da još uvek nije kontaktirao GO SMS Pro tim.

Iz Trustwavea kažu da im je cilj da spreče korisnike da rizikuju slanjem fotografija, video snimaka i glasovnih poruka. „S obzirom na to da su stari podaci i dalje u opasnosti da procure, pored nedostatka komunikacije ili potpunih ispravki (za bag), takođe mislimo da bi bila dobra ideja da Google ponovo povuče ovu aplikaciju.“


Prijavite se na našu mailing listu i primajte najnovije vesti (jednom dnevno) putem emaila svakog radnog dana besplatno:

Izdvojeno

UltimaSMS: SMS prevara skupo koštala milione korisnika Androida

UltimaSMS: SMS prevara skupo koštala milione korisnika Androida

Istraživač iz kompanije Avast Jakub Vavra prijavio je Googleu 80 aplikacija umešanih u SMS prevaru, koje pretplaćuju žrtve na premijum SMS servis... Dalje

Apple brani svoju politiku instaliranja aplikacija: iPhone bi kao Android postao neotporan na malvere

Apple brani svoju politiku instaliranja aplikacija: iPhone bi kao Android postao neotporan na malvere

Apple je rekao da su privatnost i bezbednost razlozi zbog kojih ne dozvoljava korišćenje nezavisnih prodavnica aplikacija na iOS-u, ukazujući na ... Dalje

Nova studija otkriva: Android telefoni neprestano špijuniraju korisnike

Nova studija otkriva: Android telefoni neprestano špijuniraju korisnike

Nova studija tima univerzitetskih istraživača u Velikoj Britaniji otkrila je mnoštvo problema sa privatnošću koji nastaju upotrebom Android pamet... Dalje

Instalacija aplikacija kojih nema u Google Play prodavnici: Da li vam je to zaista neophodno?

Instalacija aplikacija kojih nema u Google Play prodavnici: Da li vam je to zaista neophodno?

Za korisnike Androida, instaliranje aplikacija iz Google Play prodavnice i samo iz Google Play prodavnice je mudar izbor. Sa svojim strogim bezbednosn... Dalje

Lažna upozorenja o infekciji inficiraju telefone malverom Flubot

Lažna upozorenja o infekciji inficiraju telefone malverom Flubot

Zloglasni malver FluBot, poznat po krađi lozinki, ima novu taktiku za infekciju Android uređaja. Sajber kriminalci sada pokušavaju da prevare koris... Dalje