Siber güvenlik araştırmacıları, kötü niyetli şarj istasyonlarının akıllı telefonlardan ve tabletlerden hassas verileri çalmasına izin veren ve on yılı aşkın bir süredir mobil cihazları koruyan güvenlik önlemlerini etkili bir şekilde atlayan “Seçim Jacking” adlı sofistike yeni bir saldırı yöntemi ortaya çıkardılar.
Avusturya’daki Graz Technology Üniversitesi’ndeki araştırmacılar tarafından keşfedilen saldırı, Apple ve Google’ı cihazlar veri aktarımı için USB ana bilgisayarlarına bağlandığında kullanıcı onay istemlerini uygulamaya iten eski “meyve suyu kriko” tekniğinin önemli bir evrimini temsil ediyor.
Bununla birlikte, Seçim Jacking, bu korumalarda temel kusurlardan yararlanır ve saldırganların kullanıcının bilgisi olmadan kendi veri bağlantılarını özerk bir şekilde kurmalarına izin verir.
.png
)
Araştırmacılar, “USB yığınlarındaki satıcı özelleştirmelerine rağmen, seçim saldırıları, piyasa payı ile ilk 6 dahil olmak üzere 8 satıcının test edilmiş tüm cihazlarında hassas kullanıcı dosyalarına (resimler, belgeler, uygulama verileri) erişim kazanıyor” dedi. Ekip, Samsung, Apple, Google, Xiaomi, Oppo, Vivo, Huawei ve Onur dahil olmak üzere büyük üreticilerin cihazlarını değerlendirdi.
Seçim Jacking Saldırısı Nasıl Çalışır?
Seçim Jacking, hem kötü amaçlı USB ana bilgisayarlarının hem de USB cihazlarının yönlerini birleştiren üç farklı teknikle çalışır. En etkili yöntem, Android’in Açık Aksesuar Protokolü’ndeki (AOAP) kusurlardan yararlanır ve aynı zamanda bir USB ana bilgisayar olarak çalışırken bir şarj istasyonunun bir giriş cihazı olarak kaydolmasına izin verir.
Uygulamada, kötü niyetli bir şarj cihazı, kurbanın ekranında görünen güvenlik istemlerini otomatik olarak kabul etmek için giriş olaylarını enjekte edebilir. Saldırı, bazı cihazlarda 133 milisaniye kadar düşük bir şekilde tamamlayabilir, bu da bir insan göz kırpmasından daha hızlı ve kullanıcılar için neredeyse tespit edilemez hale getirebilir.
İkinci teknik, USB rollerini değiştirirken cihazı tuş vuruşlarıyla doldurarak Android’in giriş sistemindeki bir yarış durumundan yararlanır. Üçüncü yöntem, giriş enjeksiyonu için ikincil bir kanal oluşturarak bir Bluetooth bağlantısı oluşturmak için başlangıç USB erişimini kullanır.
Araştırmacılar, seçim saldırılarının üreticiye bağlı olarak hem kilitli hem de kilitli cihazlarda çalıştığını gösterdiler. İki satıcı, Honor ve Oppo için, saldırılar kilitli cihazlardan bile dosyaları çıkarabilir. Xiaomi cihazlarında, saldırı daha önce hata ayıklama için etkinleştirilmemiş cihazlarda bile geliştirme erişimi kazanabilir.
Havaalanlarında, otellerde, kafelerde ve ulaşım merkezlerinde kamu şarj altyapısı birincil saldırı vektörünü temsil eder. Araştırmacılar, “Mobil cihazlar, kullanıcının dikkatinin ekran yerine çevreye odaklandığı navigasyon uygulamalarını kullanırken kiralanan şarj cihazlarına genellikle bağlıdır” dedi.
Büyük teknoloji şirketleri tehdidi kabul etti ve düzeltmeler uyguluyorlar. Google, güvenlik açığı CVE-2024-43085’i atadı ve Kasım 2024 Android güvenlik bülteninde yamalar yayınladı.
Samsung, saldırı prensibi için CVE-2024-20900 aldı ve iyileştirmeleri başlatmaya başladı. Apple, iOS 17.51’de USB bağlantıları için kullanıcı kimlik doğrulama istemleri ekledi.
Güvenlik uzmanları, genel USB bağlantı noktaları yerine duvar adaptörleri ile kişisel şarj kablolarını kullanmanızı, taşınabilir pil paketleri taşımayı ve cihaz yazılımını en son güvenlik yamalarıyla güncel tutmanızı önerir. Şarj için izin verirken veri aktarımını önleyen USB veri blokerleri, ek bir koruma katmanı sağlar.
Keşif, siber güvenlik tehditlerinin gelişen doğasını ve saldırı teknikleri giderek daha karmaşık hale geldikçe sağlam savunmaları sürdürmenin önemini vurgulamaktadır.
Derinlemesine sanal alan kötü amaçlı yazılım analizini deneyin Soc çayınızM. Herhangi birini alın. Özel Teklif Yalnızca 31 Mayıs’a kadar -> Burada deneyin