Исследователи из Техасского университета в Сан-Антонио предложили (сайт проекта, статья на Bleeping Computer) вариант атаки на системы голосового управления с использованием «ультразвука». На самом деле речь идет о трансляции вредоносных голосовых сообщений, практически недоступных человеческому слуху: абсолютное большинство людей такие аудиосигналы не услышат. Тем не менее их без проблем могут воспроизводить штатные динамики смартфонов, а типичные микрофоны — распознавать.
Авторы работы проверили два сценария атаки, названной NUIT, или Near-Ultrasound Inaudible Trojan. В одном сценарии смартфон становится и источником, и целью атаки. На устройство загружается вредоносная программа, которая в определенный момент (например, когда владельца нет рядом) воспроизводит голосовое сообщение. Несмотря на то что спектр сообщения смещен к границе слышимости, голосовой помощник на телефоне воспринимает послание как обычную команду. Во втором сценарии рассмотрена атака с одного устройства на другое, и вот у нее имеются наиболее интересные перспективы.
Дело в том, что воспроизвести звуковую команду в принципе не составляет проблемы, а на слух определить трансляцию подобного сообщения практически невозможно. Соответственно, неслышимая команда может быть встроена в ролик на YouTube, передана на конференц-звонке, вшита в аудиофайл. Получается такое вредоносное аудио, что в теории выглядит достаточно интересно. На сайте проекта доступны ссылки на множество видеороликов, демонстрирующих различные способы подобных атак. Выглядит это примерно вот так:
На ноутбуке воспроизводится беззвучная команда, телефон с активированным голосовым помощником ее без проблем детектирует и выполняет. Уже в этих тестах есть потенциально опасные команды, например: «Позвони по телефону ХХХХХХ». Всего исследователи протестировали 17 популярных устройств с голосовым управлением и показали успешные атаки на все, за исключением устройств Apple. И то — они оказались защищены системой идентификации голоса владельца, которую, как мы знаем, при необходимости можно обойти. Еще одно ограничение атаки: громкость воспроизведения должна быть достаточно высокой. По этой же причине метод не работает, если потенциальная жертва использует наушники. Или отключает голосовые помощники из принципа.
Другие подробности исследования пока не известны: авторы обещают опубликовать все данные в августе. Надо отметить, что это не самый впечатляющий метод атаки на микрофоны, хотя и вполне практичный. В 2019 году мы писали о более изощренной атаке, когда звук передается на микрофон умного устройства при помощи лазерного излучения.
Что еще произошло:
Как выяснилось, штатная утилита Windows для обрезки картинок также подвержена багу, известному как aCropalypse. Ранее подобную проблему обнаружили в редакторе изображений смартфонов Google Pixel. Причина одна и та же: при манипуляциях с уже существующим файлом PNG предыдущее содержимое не стирается. Microsoft посчитала проблему настолько серьезной, что выпустила внеочередной патч для ее решения. У данного рода багов есть одна важная особенность: никакие патчи не решат проблему уже выложенных в общий доступ картинок, которые могут содержать приватную информацию.
Киберкриминал эксплуатирует популярность сервиса ChatGPT. Недавно исследователи обнаружили вредоносное браузерное расширение, которое якобы обеспечивает доступ к чат-боту, а на самом деле похищает учетные записи в соцсетях. Реклама расширения одно время крутилась в поисковике Google, где демонстрировалась выше нормальных результатов выдачи по соответствующим запросам.
Издание Ars Technica пишет о взломе биткойновых банкоматов General Bytes. Злоумышленники воспользовались критической уязвимостью в ПО банкомата и похитили криптовалюты на полтора миллиона долларов.
Авторы работы проверили два сценария атаки, названной NUIT, или Near-Ultrasound Inaudible Trojan. В одном сценарии смартфон становится и источником, и целью атаки. На устройство загружается вредоносная программа, которая в определенный момент (например, когда владельца нет рядом) воспроизводит голосовое сообщение. Несмотря на то что спектр сообщения смещен к границе слышимости, голосовой помощник на телефоне воспринимает послание как обычную команду. Во втором сценарии рассмотрена атака с одного устройства на другое, и вот у нее имеются наиболее интересные перспективы.
Дело в том, что воспроизвести звуковую команду в принципе не составляет проблемы, а на слух определить трансляцию подобного сообщения практически невозможно. Соответственно, неслышимая команда может быть встроена в ролик на YouTube, передана на конференц-звонке, вшита в аудиофайл. Получается такое вредоносное аудио, что в теории выглядит достаточно интересно. На сайте проекта доступны ссылки на множество видеороликов, демонстрирующих различные способы подобных атак. Выглядит это примерно вот так:
На ноутбуке воспроизводится беззвучная команда, телефон с активированным голосовым помощником ее без проблем детектирует и выполняет. Уже в этих тестах есть потенциально опасные команды, например: «Позвони по телефону ХХХХХХ». Всего исследователи протестировали 17 популярных устройств с голосовым управлением и показали успешные атаки на все, за исключением устройств Apple. И то — они оказались защищены системой идентификации голоса владельца, которую, как мы знаем, при необходимости можно обойти. Еще одно ограничение атаки: громкость воспроизведения должна быть достаточно высокой. По этой же причине метод не работает, если потенциальная жертва использует наушники. Или отключает голосовые помощники из принципа.
Другие подробности исследования пока не известны: авторы обещают опубликовать все данные в августе. Надо отметить, что это не самый впечатляющий метод атаки на микрофоны, хотя и вполне практичный. В 2019 году мы писали о более изощренной атаке, когда звук передается на микрофон умного устройства при помощи лазерного излучения.
Что еще произошло:
Как выяснилось, штатная утилита Windows для обрезки картинок также подвержена багу, известному как aCropalypse. Ранее подобную проблему обнаружили в редакторе изображений смартфонов Google Pixel. Причина одна и та же: при манипуляциях с уже существующим файлом PNG предыдущее содержимое не стирается. Microsoft посчитала проблему настолько серьезной, что выпустила внеочередной патч для ее решения. У данного рода багов есть одна важная особенность: никакие патчи не решат проблему уже выложенных в общий доступ картинок, которые могут содержать приватную информацию.
Киберкриминал эксплуатирует популярность сервиса ChatGPT. Недавно исследователи обнаружили вредоносное браузерное расширение, которое якобы обеспечивает доступ к чат-боту, а на самом деле похищает учетные записи в соцсетях. Реклама расширения одно время крутилась в поисковике Google, где демонстрировалась выше нормальных результатов выдачи по соответствующим запросам.
Издание Ars Technica пишет о взломе биткойновых банкоматов General Bytes. Злоумышленники воспользовались критической уязвимостью в ПО банкомата и похитили криптовалюты на полтора миллиона долларов.
