Binibigyang-daan ng Viber pagsasamantala ang mga hacker na i-unlock ang iyong android phone

Ang Viber messaging app ay nagtitipon ng momentum sa Google Play, ngunit ang isang bagong pagsasamantala ay maaaring magbigay ng pause sa mga gumagamit. Ilang araw na ang nakalilipas, inihayag ng kumpanya ng seguridad na Bkav na natagpuan nito ang isang paraan upang makakuha ng buong pag-access sa mga teleponong Android gamit ang sikat na Viber messaging app.

Hindi tulad ng isyu sa Samsung lockscreen na naiulat namin sa mas maaga, ang pag-atake na ito ay hindi kukuha ng anumang magarbong gawa sa daliri. Sa halip, ang lahat ng kailangan nito ay dalawang telepono, parehong tumatakbo sa Viber, at isang numero ng telepono.

Narito kung paano ito gumagana. Naka-lock ang telepono ng biktima, ngunit naka-install ito at naka-set up ang Viber. Ang nag-atake ng telepono ay nagpapadala ng isang mensahe sa biktima, na nagdadala ng isang window ng alerto sa lockscreen. Ang isa sa mga natatanging tampok ng Viber ay maaari kang tumugon kahit na naka-lock ang telepono, at ang pag-activate ng keyboard ng Viber ay ang susunod na hakbang sa pag-atake.

Kapag ang keyboard ay aktibo sa telepono ng biktima, nagpapadala ang isa pang mensahe. Sa oras na ito, pindutin ang back button sa telepono ng biktima, at biglang mayroon kang ganap na pag-access sa telepono ng biktima.

Ayon kay Bkav, ang isyu ay nagmumula sa paraan ng pakikipag-ugnay ni Viber sa Android lockscreen. Ang direktor ng security division ng BKav na si Nguyen Minh Duc ay ipinaliwanag sa website ng kumpanya, "ang paraan ng paghawak ng Viber upang i-popup ang mga mensahe nito sa lock screen ng mga smartphone ay hindi pangkaraniwan, na nagreresulta sa pagkabigo nitong kontrolin ang logic ng programming, na nagiging sanhi ng paglitaw ng kapintasan."

Sinulat ni Bkav na nakipag-ugnay sila sa Viber tungkol sa isyu, ngunit hindi nakatanggap ng tugon. Tulad ng pagsulat, ang feed ng Twitter at mga account sa Facebook para sa Viber ay tumahimik sa loob ng isang araw.

Ang Bkav ay may maraming mga video ng pagsasamantala sa aksyon sa kanilang website.

Paano Mapanganib Ito?

Habang nakakagulat na makita ang Android lockscreen na madaling umikot, ang katotohanan ay ang pagsasamantala na ito ay tumatanggap ng dalawang bagay na wala sa mga umaatake. Una, kailangan nila ng pisikal na pag-access sa iyong telepono. Kung wala ang iyong telepono, hindi mahalaga kung naka-lock ito o nai-lock dahil wala nang magagawa ang nagsasalakay.

Pangalawa, ang isang umaatake ay kailangang magkaroon ng impormasyon ng gumagamit ng Viber upang magpadala sa iyo ng isang mensahe. Kahit na ninakaw ang iyong telepono at alam ng manlusob na ikaw ay isang gumagamit ng Viber, kakailanganin pa rin nilang magpadala ng isang mensahe sa iyong tukoy na telepono.

Ang dalawang kadahilanan na ito ay lubos na nililimitahan ang potensyal na pool ng mga umaatake, hindi upang mailakip ang katotohanan na mayroong milyun-milyong mga gumagamit ng Android at ilan lamang ang gumagamit ng Viber. Tulad ng karamihan sa mga pagsasamantala na ito ay nagdudulot ng kaunting banta sa karamihan ng mga gumagamit.

Sa palagay ko, ang tunay na panganib dito ay ang mga developer ng Viber alinman ay hindi alam o hindi nagmamalasakit na ang pagsasamantala ay umiiral sa kanilang app - at tiyak na hindi sila nag-iisa sa mga ito. Habang mahirap na magkaroon ng kabuuang katiyakan ng kalidad para sa anumang app, lalo na para sa mga developer ng Android na mayroong maraming mga pagkakaiba-iba ng hardware at operating system na isaalang-alang, kailangan pa ring mapanatili ng isip ng mga developer kung itulak nila ang kanilang mga app.

I-update:

Si Talmon Marco, ang may-ari ng Viber, ay nagsulat sa aming seksyon ng komento na sineseryoso ng kumpanya ang mga pag-aalala na ito.

"Talagang nag-aalaga kami tungkol sa isyung ito. Kami ay namuhunan ng makabuluhang mga mapagkukunan sa pagtiyak na ang serbisyo ng Viber ay ligtas at medyo nabigo sa bug na ito. Kasalukuyan kaming nagsasaliksik dito at maglalabas ng isang pag-aayos sa susunod na linggo (nais naming siguraduhin na kami ay ay hindi nasira ang anumang bagay sa proseso ng pag-aayos nito). "

Sa isang pag-uusap sa email kaninang umaga, sinabi ni Marco sa SecurityWatch na ang isang patch ay magagamit sa website ng Viber mamaya ngayon. Ang isang buong pag-update sa pamamagitan ng Google Play ay magagamit sa isang hinaharap na petsa.

I-update ang 2:

Ipinagbigay-alam sa amin ng Viber na ang naka-patched na APK ay magagamit para ma-download.