Braki w zabezpieczeniach powodują, że aplikacje do współdzielenia przejazdów są podatne na ataki

Badacze z Kaspersky Lab przyjrzeli się bezpieczeństwu 13 aplikacji umożliwiających wspólne przejazdy samochodem, oferowanych przez producentów na całym świecie. Eksperci odkryli, że wszystkie te aplikacje zawierają liczne problemy związane z bezpieczeństwem, które mogą potencjalnie umożliwić przestępcom przejęcie kontroli – ukradkowo bądź też podszywając się pod innego użytkownika. Po uzyskaniu dostępu za pośrednictwem aplikacji przestępca może zrobić niemal wszystko – od kradzieży pojazdu lub jego danych po wyrządzenie szkód lub wykorzystanie go do szkodliwych celów.

 

 

Aplikacje mają ułatwić nam życie i zwiększyć wygodę transakcji. Krokiem naprzód w tym względzie było pojawienie się aplikacji umożliwiających współdzielenie, dzięki którym można w bardziej ekonomiczny sposób korzystać z różnych usług, od dostaw żywności poprzez wspólne przejazdy taksówką i samochodem. Jednak chociaż aplikacje umożliwiające wspólne przejazdy są nieocenione dla tych, którzy mają niewielki budżet, zdejmując z ich użytkowników obowiązek opłat z tytułu posiadania lub utrzymania pojazdu, mogą jednocześnie zwiększyć zagrożenie bezpieczeństwa zarówno dla producentów, jak i użytkowników.

Aby określić rozmiar problemu, badacze z Kaspersky Lab przetestowali 13 aplikacji umożliwiających wspólną jazdę samochodem, rozwijanych przez czołowych producentów z różnych krajów, które – według statystyk Sklepu Play firmy Google – zostały pobrane ponad milion razy. W badaniu wykryto, że każda z testowanych aplikacji zawiera kilka problemów dot. bezpieczeństwa. Ponadto badacze stwierdzili, że szkodliwi użytkownicy już teraz czerpią korzyści finansowe ze skradzionych kont do aplikacji umożliwiających współdzielenie przejazdów.

Lista wykrytych luk w zabezpieczeniach obejmuje następujące “grzechy”:

• Brak ochrony przed atakami typu “man-in-the-middle”. W tego rodzaju atakach użytkownik sądzi, że połączył się z legalną stroną internetową, w rzeczywistości jednak ruch jest przekierowywany przez stronę cyberprzestępcy, umożliwiając mu gromadzenie wszelkich danych osobowych wprowadzanych przez ofiarę (login, hasło, PIN, adres, dane karty płatniczej itd.).
• Brak ochrony przed inżynierią wsteczną aplikacji. W efekcie przestępca może dowiedzieć się, jak działa aplikacja, i znaleźć w niej lukę, która pozwoli mu uzyskać dostęp do infrastruktury po stronie serwera.
• Brak technik wykrywania rootowania (uzyskiwania uprawnień administratora na urządzeniu mobilnym). Prawa na poziomie administratora zapewniają szkodliwemu użytkownikowi niemal nieograniczone możliwości, podczas gdy aplikacja staje się bezbronna.
• Brak ochrony przed technikami nakładania się na aplikacje. To pomaga w wyświetlaniu okien phishingowych przez szkodliwe aplikacje oraz kradzieży danych uwierzytelniających użytkowników.
• Mniej niż połowa aplikacji wymaga silnych haseł od użytkowników, co oznacza, że przestępcy mogą zaatakować ofiarę za pośrednictwem prostego scenariusza ataku siłowego.

W przypadku wykorzystania takich luk w zabezpieczeniach cyberprzestępca może dyskretnie przejąć kontrolę nad aplikacją i wykorzystać ją do szkodliwych celów – od darmowych przejażdżek i szpiegowania użytkowników po kradzież pojazdu i jego danych, a nawet kradzież danych osobowych użytkowników oraz sprzedaż ich dla zysku na czarnym rynku. W ten sposób przestępcy mogliby np. wykonywać nielegalne i niebezpieczne manewry na drogach, podszywając się pod inne osoby.

Wniosek z naszego badania jest taki, że w swej obecnej formie aplikacje umożliwiające wspólne przejazdy nie są gotowe na odpieranie ataków szkodliwego oprogramowania. I chociaż nie wykryliśmy jeszcze żadnych przypadków wyrafinowanych ataków na te usługi, cyberprzestępcy znają wartość takich aplikacji, a aktualne oferty na czarnym rynku wskazują na to, że producenci nie mają zbyt wiele czasu na usuwanie luk w zabezpieczeniach – powiedział Wiktor Czebyszew, ekspert ds. cyberbezpieczeństwa, Kaspersky Lab. 

Porady bezpieczeństwa

Badacze z Kaspersky Lab zalecają użytkownikom aplikacji umożliwiających współdzielenie przejazdów podjęcie następujących działań w celu zabezpieczenia swoich samochodów i prywatnych danych przed ewentualnymi atakami:

• Nie “rootuj” swojego urządzenia z systemem Android, ponieważ w ten sposób zapewnisz szkodliwym aplikacjom niemal nieograniczone możliwości.
• Zadbaj o to, aby wersja systemu operacyjnego Twojego urządzenia była aktualna w celu ograniczenia luk w zabezpieczeniach oprogramowania i zmniejszenia ryzyka ataku.
• Zainstaluj sprawdzone rozwiązanie bezpieczeństwa w celu ochrony swojego urządzenia przed cyberatakami.

Pełny raport z badania Kaspersky Lab poświęconego błędom w zabezpieczeniach aplikacji pozwalających na współdzielenie przejazdów jest dostępny na stronie https://r.kaspersky.pl/An5dq.