Специалисты Университета имени Давида Бен-Гуриона в Негеве (Израиль) продемонстрировали, как злоумышленник может определить данные, вводимые пользователем на сенсорном экране. Данные могут быть считаны во время отправки электронных сообщений, в ходе финансовых транзакций и даже при игре в игры.
За отправную точку исследования эксперты взяли тот факт, что пользователи мобильных телефонов нередко заменяют разбитые тачскрины компонентами сторонних производителей, чтобы сэкономить. В таких компонентах может содержаться встроенный вредоносный код, это также известный факт. Но насколько широки возможности хакеров, если они опираются исключительно на данные, куда и сколько раз пользователь нажал?
«Если атакующий сможет понять контекст определенных событий, то получит возможность использовать данную информацию для более эффективных атак», — считают эксперты. В ходе эксперимента она записали 160 нажатий на сенсорный экран, а затем попросили нейросеть описать алгоритм взаимодействия пользователя со смартфоном, например, скорость нажатий, их длительность и интервал между касаниями на экране устройства. Сообщается, что с помощью машинного обучения специалистам удалось получить точные данные в 92% случаев. Эту информацию хакер может использовать для выбора момента атаки. С другой стороны, отмечают исследователи, эта технология может, напротив, позволить «идентифицировать нехарактерное для пользователя взаимодействие со смартфоном и предотвратить неавторизованное или вредоносное использование устройства».
По сути описанная израильскими специалистами кибератака близка к методу chip-in-the-middle, который предполагает внедрение в атакуемые устройства дополнительных компонентов.
Ранее эксперты по кибербезопасности выяснили, что почти все гаджеты на базе ОС Android, выпущенные с 2012 года, подвержены уязвимости под названием RAMpage (CVE-2018-9442), вариации знаменитой атаки Rowhammer, когда злоумышленником производится «долбление» рядов ячеек памяти в устройствах DRAM, чтобы вынудить ячейки переключиться из одного состояния в другое.
