Двоє дослідників з університету Джорджа Мейсона, д-р Ангелос Ставро і Джаохуй Ван продемонстрували здатність використовувати смартфон (Nexus One, але доктор Ставру каже, що це стосується і iPhone) як HID (Human Input Device) через USB. Простіше кажучи, просто підключення телефону до комп’ютера призводить до того, що він працює як миша або клавіатура, без жодного сервера на комп’ютері, про який йде мова, і попередження на екрані комп'ютера мало.
Зазвичай ми б називали щось подібне одним пекельним хак-хайлу, але і страшна сторона теж. Експлуатація може бути зроблена вірусно, для Windows, Mac та Linux. За словами доктора Ставроу;
" Скажіть, що ваш домашній комп'ютер порушений, а ви піддаєте підключення свій телефон Android, підключаючи їх. Потім, коли ви підключаєте смартфон до іншого ноутбука чи обчислювального пристрою, я можу також взяти на себе цей комп'ютер, а потім скомпрометувати інші комп'ютери з цього Android. Це вірусний тип компромісу за допомогою кабелю USB."
Це привернуло нашу увагу, тому ми звернулися до доктора Ставру, який був добрий, щоб відповісти на кілька запитань до нас. Прочитайте решту, після перерви.
Чим це відрізняється від існуючих додатків, які перетворюють ваш смартфон Android у HID через WiFi, Bluetooth або USB?
Програми, які ви завантажуєте з ринку Android, які, як видається, виконують те саме, вимагають встановлення на комп'ютері серверного компонента. Цей подвиг не тільки не потребує введення даних на комп'ютерній стороні, але також може передаватися на хост-комп'ютер, заражаючи його компонентами, необхідними для компромісу наступного телефону, який ви підключаєте. Подумайте, коли ви підключите USB-мишу до комп'ютер - маленьке спливаюче вікно, яке ви бачите в системному треї (Windows, Mac - Linux за замовчуванням не дає сповіщень) - це все попередження, яке ви отримаєте. Через кілька секунд телефон може керувати комп'ютером, як і справжня периферія.
Чи вимкнено блокування екрана на впливовому комп'ютері?
Це полегшує, але хлопець в аеропорту, який запитує, чи може він зарядити свій телефон з вашого ноутбука, також міг (теоретично) завантажити і встановити щось гірше - як кейлоггер.
Чи цей подвиг надає зловмисникові більше енергії чи інструментів, ніж фізична клавіатура чи миша, прикріплені до відповідного комп'ютера?
Тут речі трохи волохаті. Ваш новий приятель аеропорту також може захопити та проаналізувати ваші дані, роблячи вигляд, що це USB-карта бездротового зв'язку, або намагаючись запустити подвиги проти ОС комп'ютера. І нарешті, найкрутіша частина експлуату, але також і біт, який найбільше цікавий шанувальникам Android;
USB-хост класно грати. Безглузді, примхливі речі, такі як USB-накопичувач на 250 ГБ, підключений до телефону, є частиною цікавої речі про те, щоб мати телефон Android. Ці хлопці пішли на крок далі і один телефон встановлений як USB-пристрій на іншому телефоні. Я знаю, що ми повинні сприймати це серйозно, але вгадайте, що я спробую наступного разу, коли у мене буде трохи вільного часу?
По суті, будь-який біт коду, який працює самостійно і може передавати себе з однієї машини на іншу, - це не дуже добре. Але саме цей подвиг вимагає від вас фізичного доступу до комп'ютера, тому випадки використання не дуже широкі. Це модифікація запущеного ядра на вашому смартфоні, тому для введення коду потрібні кореневі привілеї, і якщо ви вкорінені, вам слід скористатися Superuser.apk, щоб попередити вас про це, коли воно вперше відбудеться. А оскільки це робиться через USB-кабель, ви знаходитесь не більше ніж у 3 футах від фактичної клавіатури та миші. Не дозволяйте випадковим незнайомим людям, тупим сусідкам чи колишнім подругам використовувати USB-роз'єми, і все, ймовірно, буде добре.
