Apple и Google объединили усилия для борьбы со слежкой за людьми с использованием Bluetooth-трекеров. Теперь iPhone и Android-смартфоны будут предупреждать пользователей о нахождении поблизости беспроводного трекера, если пользователь не знал, что за ним следят, и хочет это прекратить.

Источник изображений: Apple

Новая инициатива направлена на устранение недостатков беспроводных трекеров, таких как Apple AirTag и Tile. Эти устройства, полезные для поиска потерянных или украденных вещей и показывающие их местоположение на цифровой карте, также могут использоваться злоумышленниками для слежки за жертвами.

Обе компании уже внедрили эти оповещения в обновлённые версии своих мобильных операционных систем (ОС), начиная с iOS 17.5 для iPhone и Android-устройств с версией 6.0 или более новой. Их пользователи будут получать сообщение о нахождении Bluetooth-трекера, который перемещается вместе с ними. Пользователи могут включить звуковой сигнал, чтобы такой трекер было легче найти, а также получить инструкции по его отключению.

Когда в 2021 году Apple представила AirTag, они быстро завоевали популярность среди пользователей, которые прикрепляли их к ключам, багажу и даже автомобилям. Это позволяло им использовать глобальную сеть устройств Apple и краудсорсинговые сигналы Bluetooth для быстрого поиска предметов, например, багажа, потерянного во время авиаперелёта.

Однако эти устройства также использовались в преступных целях. Некоторые жертвы заявляли, что им подбрасывали беспроводные метки Apple AirTag в баре с целью слежки. С тех пор Apple совместно с Google работает над интеграцией предупреждений и уведомлений в iOS и Android для предотвращения неправомерного использования беспроводных трекеров. Предупреждения о перемещении AirTag вместе с пользователем были внедрены в Android ещё в 2022 году.

На данный момент AirTag является лишь одной из моделей Bluetooth-трекеров, представленных на рынке. Хотя Apple и Google ещё работают над созданием отраслевой спецификации для подобных устройств, они разрешают сторонним компаниям, таким как Chipolo, Motorola и другим, создавать свои собственные Bluetooth-устройства для отслеживания местоположения. Однако сторонние компании, создавая совместимые с Find My трекеры, должны соответствовать спецификациям Apple и Google, которые теперь требуют наличия уведомлений о нежелательной слежке.

Компания Discord была вынуждена отреагировать на произошедший в начале апреля инцидент, в ходе которого сеть ботов массово осуществляла слежку за пользователями, архивируя их сообщения. Собранные данные впоследствии были выставлены на продажу.

Источник изображения: Alexander Shatov / unsplash.com

Ботам удалось перехватить более 4 млрд публичных сообщений, включая голосовые данные, от 620 млн пользователей на крупнейших серверах Discord, в том числе посвящённых таким играм как Minecraft и Among Us. Далее эти данные были выставлены на продажу на ныне закрытом сайте Spy.pet по цене £4 ($5) — ресурс продавал их для обучения моделей искусственного интеллекта или для «федеральных агентов, ищущих новый источник информации». В Discord сообщили, что ответственные за инцидент учётные записи были заблокированы, и сейчас изучается возможность подать судебный иск.

«Наш отдел безопасности тщательно расследовал эти действия, и мы выявили некоторые учётные записи, которые, по нашему мнению, связаны с сайтом Spy.pet, который мы впоследствии заблокировали. По данным нашего расследования, учётные записи входили на серверы Discord, которые были открыты и доступны для любого, или имели лёгкий доступ через действующую ссылку-приглашение. Оказавшись на этих серверах, эти учётные записи могли получить доступ только к той же информации, что и любой другой пользователь этих серверов», — заявил представитель Discord ресурсу 404 Media.

Причины подозревать, что была похищена личная переписка пользователей Discord или персональные данные, помимо тех, которыми пользователь сам поделился в своём профиле, отсутствуют. Но есть основания считать, что владелец Spy.pet является пользователем форума Kiwi Farms, участники которого занимаются преследованием онлайн-деятелей и сообществ.

Пользователям, печатающим на китайском языке с помощью облачных приложений Baidu, Honor, iFlytek, Oppo, Samsung, Tencent, Vivo и Xiaomi, следует немедленно обновить своё программное обеспечение. Исследователи обнаружили серьёзные недостатки шифрования в ПО ввода по системе пиньинь, которые могут скомпрометировать вводимые данные. Хотя сведений об использовании уязвимости пока не обнародовано, проблема потенциально может затронуть до миллиарда пользователей.

Источник изображения: techspot.com

Китайское письмо включает в себя тысячи уникальных символов, которые невозможно разместить на клавиатуре, поэтому для набора текста используются альтернативные методы ввода (IME). Во всех уязвимых облачных инструментах использовалась система пиньинь (буквально — «фонетическое письмо»), в которой пользователи используют латиницу для ввода фонетического произношения, а затем выбирают соответствующие символы из набора. Поставщики операционных систем и сторонние разработчики на протяжении десятилетий предоставляют китайским пользователям локальные альтернативные методы ввода, но облачные сервисы опережают локальные приложения по точности определения символов.

Использование любого облачного приложения для набора текста повышает риск отслеживания, поэтому разработчики обеспечивают конфиденциальность с помощью шифрования. Исследователи из Университета Торонто проверили безопасность приложений девяти компаний: Baidu, Honor, Huawei, iFlytek, OPPO, Samsung, Tencent, Vivo и Xiaomi, и в процессе эксперимента успешно считывали нажатия клавиш всех этих инструментов, кроме приложения Huawei.

Исследователи не обнаружили недостатков в приложениях для iOS, поскольку Apple автоматически помещает в «песочницу» клавиатурные приложения, а для доступа и передачи данных требует явного разрешения пользователя. Аналогичные инструменты для Android и Windows признаны гораздо менее безопасными. Пользователи Android могут запретить клавиатурному приложению подключаться к интернету, но большинство пользователей просто не задумываются о потенциальных рисках, да и найти соответствующие элементы управления в настройках не так-то просто.

Исследователи поставили всех разработчиков в известность о найденной уязвимости, и большинство из них уже выпустило обновления для устранения проблем, но недостатки шифрования пока сохраняются в приложениях Baidu, клавиатуре Honor и сервисе Tencent QQ Pinyin. Исследователи перечислили десятки похожих приложений, которые они не тестировали, предположив, что в большинстве приложений могут обнаружится аналогичные уязвимости.

Исследователи выразили тревогу, напомнив предыдущие эпизоды правительственной слежки. Например, Five Eyes — альянс по обмену разведданными между США, Великобританией, Канадой, Австралией и Новой Зеландией — ранее использовал аналогичные уязвимости в китайских приложениях, чтобы шпионить за пользователями.

Google намерена пресекать хакерские кампании, проводимые с помощью шпионского ПО, поскольку они часто связаны с целенаправленной слежкой за журналистами, диссидентами и политиками. По мнению компании, поставщики систем так называемого «коммерческого наблюдения» способствуют распространению опасных хакерских инструментов. Поставщики шпионского ПО, в свою очередь, утверждают, что их ПО законно используется в правоохранительных органах и борьбе с терроризмом.

Источник изображения: Pixabay

По данным группы анализа угроз Google, в прошлом году правительственные хакеры воспользовались тремя ранее неизвестными уязвимостями нулевого дня в операционной системе Apple iOS. Они использовали шпионские инструменты, разработанные европейским стартапом в области технологий наблюдения и взлома Variston, чьё вредоносное ПО уже дважды анализировалось Google в 2022 и 2023 годах.

Специалисты из группы анализа угроз Google обнаружили использование ПО Variston в марте 2023 года для таргетинга iPhone в Индонезии. Хакеры доставили текстовое SMS-сообщение, содержащее вредоносную ссылку, которая заразила телефон жертвы шпионским ПО, а затем перенаправили жертву на новостную статью в индонезийской газете Pikiran Rakyat. Google не раскрыла, кто выступил госзаказчиком этой атаки.

Variston была основана в 2018 году в Барселоне Ральфом Вегенером (Ralf Wegener) и Рамананом Джаяраманом (Ramanan Jayaraman) и вскоре после этого приобрела итальянскую компанию по исследованию компьютерной безопасности и уязвимостей нулевого дня Truel IT. По слухам, за последнее время штат Variston заметно сократился, хотя говорить о снижении активности пока не приходится. По данным Google, Variston сотрудничает «с несколькими другими организациями в разработке и доставке шпионского ПО».

Одной из таких организаций Google называет Protected AE, основанную в 2016 году в Объединённых Арабских Эмиратах. В регистрационных документах профиль компании описывается как «Protect Electronic Systems». На официальном сайте Protected AE позиционирует себя как «передовую компанию в области кибербезопасности и криминалистики». По данным Google, Protected AE «объединяет разрабатываемое ею шпионское ПО с платформой и инфраструктурой Heliconia [от Variston] в полный пакет, который затем предлагается для продажи либо местному брокеру, либо непосредственно государственному заказчику».

Хотя в последние несколько лет большое внимание уделялось израильским производителям шпионского ПО, таким как NSO Group, Candiru и QuaDream, отчёт Google показывает, что европейские производители шпионского ПО также расширяют своё присутствие и возможности. Исследователи Google отслеживают около 40 компаний, которые продают эксплойты и шпионское программное обеспечение для наблюдения правительственным заказчикам по всему миру.

Кроме Variston аналитики Google отмечают итальянские компании Cy4Gate, RCS Lab и Negg. RCS Lab была основана в 1993 году и раньше была партнёром ныне несуществующего производителя шпионского ПО Hacking Team, но до недавних лет не занималась разработкой шпионского ПО самостоятельно, сосредоточившись вместо этого на продаже продуктов для традиционного прослушивания телефонных разговоров операторов связи.

Google уверена, что шпионское ПО может использоваться для слежки за журналистами, правозащитниками, диссидентами и оппозиционными политиками, которых компания относит к «пользователям высокого риска». «Хотя число [этих] пользователей невелико по сравнению с другими видами киберугроз, последствия гораздо шире, — считает Google. — Такой тип целенаправленных нападок угрожает свободе слова, свободной прессе и честности выборов во всём мире».

В последнее время приватность данных пользователей стала одним из приоритетных направлений для многих технологических компаний. Apple, известная своим строгим подходом к защите личных данных пользователей, представила функцию скрытия MAC-адресов модулей Wi-Fi в её устройствах, для повышения анонимности. Однако, согласно отчету, опубликованному на технологическом портале Ars Technica, эта функция работала некорректно на протяжении трех лет.

Функция скрытия MAC-адресов была введена в обновлении iOS 8 в 2014 году с целью обеспечения дополнительной анонимности пользователей в сетях Wi-Fi. MAC-адрес — это уникальный идентификатор, связанный с аппаратным обеспечением устройства, который может быть использован третьими сторонами для отслеживания перемещений пользователя. По задумке Apple, замена MAC-адреса на случайные значения для каждой сети Wi-Fi должна была помочь в решении этой проблемы.

Однако, как выяснилось, функция не работала должным образом с момента выпуска обновления iOS 14 в 2020 году. iPhone действительно передавали на точку доступа случайный MAC-адрес Wi-Fi. Однако если копнуть глубже, оказывается, что реальный MAC по-прежнему передается всем остальным подключенным устройствам, просто в другом поле запроса. Исследователи безопасности опубликовали небольшой видеоролик, в котором показан Mac, использующий программу Wireshark packet sniffer для мониторинга трафика в локальной сети, к которой он подключен. Когда к сети подключается iPhone под управлением iOS до версии 17.1, он передает свой реальный MAC-адрес Wi-Fi на порт 5353/UDP.

Это значит, что в течение последних трех лет пользователи iPhone были потенциально уязвимы для отслеживания их через сети Wi-Fi третьими сторонами. Ошибка в функции скрытия MAC-адресов была обнаружена независимыми исследователями, которые сообщили об этом Apple. «С самого начала эта функция была бесполезна из-за этой ошибки. Мы не могли запретить устройствам отправлять эти запросы на обнаружение, даже с помощью VPN. Даже в режиме Lockdown Mode», — отметил один из исследователей.

В среду компания Apple выпустила iOS 17.1. Среди различных исправлений было отмечено исправление уязвимости, отслеживаемой как CVE-2023-42846, которая не позволяла работать функции конфиденциальности с подменными MAC-адресами. Apple не объяснила, как такая элементарная ошибка так долго оставалась незамеченной. В сообщении, выпущенном компанией в среду, говорится лишь о том, что исправление работает за счет «удаления уязвимого кода».

Данный инцидент является наглядным напоминанием о том, как важно постоянное тестирование и мониторинг функций безопасности и приватности в продуктах, предназначенных для широкого круга пользователей. Это также подчеркивает значимость открытого диалога между компаниями, исследователями и пользователями в вопросах обеспечения приватности и безопасности данных.

Национальное собрание Франции (нижняя палата парламента) приняло законопроект, позволяющий полиции удалённо следить за подозреваемыми, дистанционно активируя камеры, микрофоны и средства геолокации на смартфонах и других устройствах подозреваемых.

Источник изображения: RGY23 / pixabay.com

Все эти действия смогут осуществляться только с санкции судьи, кроме того, закон не позволяет применять эти меры в отношении журналистов, юристов и представителей других «профессий деликатного характера». Подобные меры допускаются лишь в отдельных случаях и вводятся на срок до шести месяцев — слежение за геолокацией применяется только к подозреваемым в преступлениях, за которые предусмотрено наказание в виде лишения свободы на срок не менее пяти лет. Законопроект уже прошёл утверждение в Сенате (верхней палате парламента), но для его вступления в силу он должен был быть утверждён Национальным собранием.

Инициатива крайне встревожила защитников гражданских свобод. Они указывают, что в документе не уточняются перечни преступлений, подозреваемые в которых могут подвергаться преследованиям такого рода, а значит, не исключены злоупотребления. История показывает, что планка применения подобных мер имеет тенденцию к снижению: так, если ранее генетическая регистрация применялась только к лицам, совершившим преступления в интимной сфере, то теперь она практикуется для большинства преступлений, отмечают правозащитники. Кроме того, возможность использования функций слежения зависит от уязвимостей в программных платформах устройств. Возникает риск, что правоохранительные органы будут просто эксплуатировать дыры в безопасности гаджетов вместо того, чтобы указывать производителям на ошибки.

Министр юстиции Франции Эрик Дюпон-Моретти (Éric Dupond-Moretti) уверил, что новые полномочия будут применяться правоохранительными органами только по «десяткам» дел в год — инициатива, по его словам, «далека» от тотальной слежки оруэлловского толка. Политик уверен, что новый закон спасёт людям жизни.

В современном мире, где всё больше устройств подключаются к интернету, даже такие повседневные предметы, как кормушки для домашних животных, становятся умными. Такие кормушки выдают заранее установленные порции корма согласно заданному графику и позволяют пользователю наблюдать за своим питомцем или общаться с ним на расстоянии. Для последней цели они часто оснащены микрофоном, динамиком и камерой, и в этом состоит опасность для пользователя.

Обычно кормушки управляются с помощью мобильного приложения. Общение между устройством и приложением осуществляется через облачный сервер. При первом использовании кормушки пользователь должен настроить беспроводную сеть, которую кормушка будет использовать через это приложение.

Однако с ростом сложности этих устройств возрастает и их уязвимость перед кибератаками. Исследователи из «Лаборатории Касперского» провели анализ умных кормушек для домашних питомцев от бренда Dogness и выявили в них несколько уязвимостей. Эти уязвимости могут быть использованы злоумышленниками, чтобы втайне следить за пользователями и дистанционно манипулировать кормушками. «Лаборатория Касперского» связалась с производителем и сообщила о найденных проблемах.

Одной из ключевых уязвимостей, которую анализировали исследователи, является наличие встроенного Telnet-сервера, предоставляющего возможность удалённого доступа с полными правами администратора через стандартный порт. Пароль для этого доступа зашит в прошивке и не может быть изменён. Если хакер сможет извлечь прошивку, он сможет восстановить пароль и получить контроль над устройством. Это верно для всех устройств той или иной модели, так как они используют одинаковые пароли. При наличии удалённого доступа к домашней сети жертвы, злоумышленник сможет выполнять произвольный код, менять настройки устройства и красть чувствительные данные, включая видеозаписи. И даже напрямую подглядывать из пользователем, а также навредить питомцу, поменяв расписание питания, или взломать другие устройства в домашней сети.

Умные кормушки для животных являются типичным примером устройств, которые часто игнорируются в контексте кибербезопасности. Однако, злоумышленники активно исследуют такие устройства в поисках уязвимостей для атак на внутреннюю сеть, а также несанкционированной записи аудио и видео владельцев устройств. Владимир Дащенко, эксперт по кибербезопасности Kaspersky ICS CERT, комментирует: «Люди используют всё больше умных устройств в быту и порой не задумываются о связанных с ними киберрисках. Чего не скажешь о злоумышленниках, активно изучающих возможности, которые открывает перед ними доступ к интернету вещей. В данном случае производитель допустил на стадии разработки фундаментальную ошибку, которая делает устройство привлекательной целью для атакующих. Владельцам любых умных гаджетов важно быть бдительными и не забывать соблюдать базовые правила цифровой гигиены».

Уязвимости в умных кормушках для домашних животных являются примером того, как важно обеспечивать кибербезопасность умных устройств. Владельцам следует регулярно обновлять прошивку, изучать информацию об устройстве перед покупкой, и обеспечивать безопасность мобильных устройств, используемых для управления умными гаджетами.

ФСБ доложила о раскрытии «разведывательной акции американских спецслужб», реализуемой при помощи устройств Apple. По версии ведомства, компания намеренно оставила уязвимости в своей продукции, благодаря которым на iPhone удалось установить шпионское ПО для слежки за российскими дипломатами по всему миру.

Источник изображения: apple.com

«Установлено, что заражению подверглись несколько тысяч телефонных аппаратов этой марки. При этом кроме отечественных абонентов выявлены факты заражения зарубежных номеров и абонентов, использующих sim-карты, зарегистрированные на диппредставительства и посольства в России, включая страны блока НАТО и постсоветского пространства, а также Израиль, САР и КНР», — говорится в заявлении ФСБ.

Неизвестное ранее вредоносное программное обеспечение, эксплуатируя уязвимость в iPhone, порождало некоторые «аномалии» в работе устройств — в ФСБ не уточнили, какого рода были эти аномалии. Более того, «полученная российскими спецслужбами информация свидетельствует о тесном сотрудничестве американской компании „Apple” с национальным разведсообществом, в частности АНБ США, и подтверждает, что декларируемая политика обеспечения конфиденциальности персональных данных пользователей устройств Apple не соответствует действительности», сообщило ведомство. Производитель iPhone, по версии ФСБ, «предоставляет американским спецслужбам широкий спектр возможностей по контролю за любыми лицами, представляющими интерес для Белого дома».

Ещё в 2015 году американские спецслужбы обращались в Apple с просьбой разблокировать iPhone преступника, устроившего массовый расстрел в калифорнийском Сан-Бернардино — тогда компания ответила отказом; но уже в 2017 году сама предложила разблокировать iPhone, принадлежавший мужчине, который убил 26 человек в техасском Сазерленд-Спрингс.

В марте сотрудникам администрации президента РФ предписали отказаться от iPhone и Android-смартфонов для использования в служебных целях. «Собственно, в служебных целях смартфоны использовать нельзя, какие бы они ни были. Здесь нет разницы. Не важно, какая операционная система — Android, iOS — естественно, что в служебных целях они не используются», — заявил тогда пресс-секретарь президента Дмитрий Песков.

Как заявил глава и владелец социальной сети Twitter Илон Маск (Elon Musk) в интервью Fox News, правительство США имело полный доступ к личным сообщениям пользователей. По его словам, когда он узнал об этом, его шокировала данная информация.

Источник изображения: Matthew Henry/unsplash.com

«Факт того, что правительственные ведомства фактически имели полный доступ ко всему, что происходило в Twitter, поразил меня. Я не знал об этом», — заявил бизнесмен. При этом Маск не уточнил, как компания исправила данную проблему и исправила ли её вообще.

Дополнительно в ходе интервью Маск выразил обеспокоенность масштабами развития систем искусственного интеллекта, заявив, что, по его мнению, ИИ-технологии потенциально способны уничтожить цивилизацию. По его словам, речь идёт о более опасных вещах, чем неправильная конструкция самолёта или некачественное производство машин. При этом сам Маск уже зарегистрировал компанию X.AI, которая займётся как раз системами искусственного интеллекта.

Предназначенные для китайского рынка смартфоны OnePlus, Xiaomi и Realme занимаются постоянным сбором данных о пользователях, гласят результаты исследования, проведённого учёными из Великобритании и Ирландии. Данные с гаджетов отправляются на ресурсы производителей и их партнёров — сторонних поставщиков услуг.

Источник изображения: 偉宗 勞 / unsplash.com

В рамках исследования учёные проанализировали работу системных приложений Android, установленных на смартфонах трёх популярных в Китае брендов: OnePlus, Xiaomi и Realme. Авторы проекта исключили устанавливаемое пользователями стороннее ПО и исходили из того, что гипотетический пользователь устройств отказался от аналитики и персонализации, не пользуется облачным хранилищем или другими сторонними службами и не создал учётной записи на связанной с производителем платформе. Как оказалось, такая политика залогом сохранности данных не является.

Предназначенные для Китая телефоны поставляются с более чем 30 сторонними пакетами, среди которых инструменты ввода, средства навигации, а также клиенты потокового видео, торговых платформ и новостных ресурсов. Учёные установили, что даже при строгих ограничениях телефоны отправляют слишком много личной информации (с возможностью идентификации личности) на ресурсы производителей, сторонних поставщиков услуг вроде Baidu и операторов связи. Отправка данных продолжается при отсутствии SIM-карты или при включённой SIM-карте другого оператора.

В набор данных входят идентификаторы устройств (в том числе IMEI и MAC-адрес), идентификаторы местоположения (спутниковая навигация и идентификаторы соты), пользовательские профили (номер телефона, статистика использования приложений, данные сторонних приложений) и социальные связи (журналы звонков и сообщений, списки контактов). К примеру, при запуске приложений «Настройки», «Заметки», «Рекордер», «Телефон», «Сообщения» и «Камера» из комплекта Xiaomi смартфон отправляет POST-запросы на адрес «tracking.miui.com/track/v4» — это происходит, даже если пользователь отказался отправлять производителю данные об использовании и диагностике.

Исследователи отметили, что поведение устройств не меняется при выезде за границы Китая, что потенциально даёт Пекину возможность следить за китайскими гражданами за границей. В комплекте со смартфонами для Китая поставляется в 3–4 раза больше предустановленных приложений, чем для пользователей из других стран, и эти приложения имеют в 8–10 раз больше разрешений по сравнению с дистрибутивами за пределами Китая.

Внутреннее расследование владеющей службой коротких видео TikTok компании ByteDance подтвердило, что сотрудники соцсети отслеживали нескольких журналистов, освещавших деятельность компании. Для этого они неправомерно получали доступ к их IP-адресам и пользовательским данным, пытаясь определить, находились ли они в тех же местах, что и сотрудники компании, сообщает Forbes.

Источник изображения: antonbe / pixabay.com

По результатам расследования ByteDance уволила главного внутреннего аудитора компании Криса Лепитака (Chris Lepitak), а работающий в Китае его непосредственный руководитель Суна Е (Song Ye), докладывающий непосредственно главе ByteDance Рубо Ляну (Rubo Liang), сам подал в отставку. В октябре издание Forbes впервые сообщило о слежке за американскими гражданами со стороны сотрудников TikTok, но тогда администрация платформы заявила, что это невозможно. По результатам внутреннего расследования глава компании подтвердил правоту журналистов.

Программа слежки, известная внутри ByteDance под кодовым именем Project Raven, была инициирована минувшим летом, когда ресурс BuzzFeed News опубликовал материал, основанный на 80 часах аудиозаписей внутренних совещаний TikTok — в нём говорится, что китайские сотрудники ByteDance неоднократно получали доступ к данным американских пользователей. В рамках Project Raven была установлена слежка за Эмили Бейкер-Уайт (Emily Baker-White), Кэтрин Шваб (Katharine Schwab) и Ричардом Нивой (Richard Nieva), журналистами Forbes, прежде работавшими в BuzzFeed News.

В октябре Forbes стало известно, что сотрудники китайской группы внутреннего аудита и расследований ByteDance, занимавшиеся слежкой за журналистами, расследовали деятельность главы службы международной безопасности TikTok Роланда Клутье (Roland Cloutier), которому было поручено ограничивать доступ китайских сотрудников компании к данным американских пользователей — он уволился в июле 2022 года. В августе издание проанализировало профили трехсот сотрудников ByteDance в профессиональной соцсети LinkedIn и обнаружило, что ранее они работали в китайских государственных СМИ — тогда представитель компании Дженнифер Бэнкс (Jennifer Banks) объяснила это исключительно их профессиональными качествами.