Kaliforniya’daki California Riverside Bourns Üniversitesi’nin Mühendislik Fakültesi’ndeki araştırmacılar ile Michigan Üniversitesi’nde çalışan araştırmacılar Android, Windows ve iOS işletim sistemlerinde kişisel bilgileri çalan zararlı yazılımlara izin verecek zayıflıkları ortaya çıkarttılar.
Şu an için sadece Android telefonda test edilmiş olsa da ekip bu metodun diğer bütün işletim sistemlerinde de aynı şekilde sonuç vereceğine inanıyor. Çünkü her üç işletim sistemi de tüm uygulama konusunda aynı özelliğe sahip; uygulamaların ortak belleğe erişme yetkisi.
UC Riverside Profesörü Zhiyun Qian “Bu zamana kadar ki varsayımlar bu uygulamaların kolaylıkla birbirleri ile çakışmayacağı yönündeydi” derken şu şekilde devam etti:
“Bu varsayımın yanlış olduğunu yaptığımız araştırma ile gösterdik. Artık biliyoruz ki bir uygulama kayda değer bir şekilde bir diğer uygulamayı etkileyebiliyor ve bunun da kullanıcı için acı verici sonuçları doğabiliyor.”
Peki bu araştırma nasıl yapıldı? Öncelikle kullanıcı iyi huylu olduğuna inandığı, misal duvar kağıdı, fakat aslında içerisinde zararlı yazılım olan bir uygulamayı indirmiş. Uygulama yüklendikten sonra araştırmacılar her hangi bir uygulamanın ortak bellek istatistiklerine ulaşabilmişler. Bunun için hiçbir özel izin de gerekmiyor.
Daha sonra bu ortak bellekteki değişimleri takip etmeye başlayan araştırmacılar Gmail’e login olma, H&R Block adındaki vergi hazırlama programının çalıştırılması ya da bankaya online olarak yatırılacak bir çekin resmini çekme gibi farklı aktivitelerin yarattığı değişiklikleri topluyorlar. Araştırmacılar saldırıya en açık uygulamaların da bu üç uygulama olduğunu belirtip bu uygulamaları hack’lemenin başarı oranının %82 ile %92 arasında değiştiğini belirtiyorlar. Bazı yan programlar kullanan araştırmacılar kullanıcının tüm boyunca ne yaptığını gerçek zamanlı olarak bile görebiliyorlar.
Başarılı bir saldırı gerçekleştirmek için iki şeyin olması gerekiyormuş: öncelikle saldırı kullanıcının tam aksiyonu gerçekleştirdiği anda yapılması gerekiyor. İkinci olarak saldırının bir şekilde kullanıcının haberi olmadan yapılması lazım. Ekip de bu saldırıyı dikkatli bir şekilde zamanlayarak yapmayı başarmış.
Michigan Üniversitesi araştırmacılarından Qi Alfred Chen konuyu şu şekilde özetliyor:
“Kullanıcıların banka uygulamalarında olduğunu biliyoruz ve tam giriş yapacağı sırada tıpatıp benzer bir login ekranını ona gönderiyoruz. Doğru zamanlama yaptığımız için bu işlem kusursuzca gerçekleşiyor.”
Test edilen 7 uygulamadan Amazon %48 başarı oranı ile hacklenmesi en zor uygulama olmuş. Bunun sebebi ise Amazon’un bir aktiviteden diğer bir aktiviteye geçiş yapılmasına izin vermesi. Bu da kullanıcının bir sonraki adımda na yapacağını tahmin etmeyi zorlaştırıyor.
Peki bu sorundan kaçınmak için ne yapılmalı? Qian’ın tavsiyesi “Güvenilmeyen uygulamaları kesinlikle indirmeyin” oluyor. Bunun yanında kullanıcılar uygulamaların yüklenirken hangi bilgilere erişim izinleri istediğine de dikkat etmesi lazımmış.
Şimdi sizlere saldırıların yapıldığı videoları sunuyoruz.
İçindekiler
LG’de 2020′ye kadar telefon ismi konusu sorun olmayacak!
tarafından verilmektedir.