Xakep #305. Многошаговые SQL-инъекции
Исследователи из Кембриджского университета опубликовали научную работу с описанием способа перехвата нажатий клавиш на смартфоне, используя фронтальную камеру и микрофон. Другими словами, потенциальному банковскому трояну достаточно будет получить невинные разрешения в системе, не вызывая подозрений у пользователя. На данный момент пока не существует вредоносных программ, реализующих данную функциональность, но после изучения вышеупомянутой научной работы злоумышленники могут исправить ситуацию.
Для иллюстрации того, как работает разработанная учеными программа PIN Skimmer, достаточно посмотреть на иллюстрацию.
Вот что происходит с телефоном при нажатии клавиши "1". Большой палец опускается на кнопку "1", а вспомогательные пальцы слегка приподнимают угол аппарата. Телефон смещается, что может зафиксировать фронтальная камера.
Вот как выглядят фотографии до и после нажатия клавиши "1" на виртуальной клавиатуре.
Параллельно с камерой работает и микрофон, который регистрирует нажатия по кнопкам виртуальной клавиатуры: в эти моменты телефон обычно слегка вибрирует.
В тестах программа PIN Skimmer показывает точность 30% при распознавании пинкода из четырех цифр после нескольких попыток ввода. Исследователи проверили программу на устройствах Galaxy S3 и Google Nexus.
