Специалисты компаний BugSec и Cynet обнаружили брешь в приложении Smart Notice, которое компания LG с 2014 года предустанавливает на свои смартфоны. Исследователи выявили, что в уведомления, которые отображает приложение, можно внедрить вредоносный JavaScript код. Хотя наличие уязвимости подтверждено только на флагманском аппарате LG G3, предполагается, что аналогичная проблема присутствует и на других смартфонах компании.
Приложение Smart Notice создано для отображения разнообразных уведомлений на домашнем экране пользователя. Можно установить напоминание о каком-либо событии, о чьем-то дне рождения, можно выводить на экран уведомления от избранных контактов и так далее.
В ходе эксперимента, исследователи создали в адресной книге смартфона новый контакт. Поля контакта, которые Smart Notice использует для отображения уведомлений о днях рождения или об обратных звонках, содержали вредоносный код.
Но вовсе не обязательно иметь физический доступ к устройству жертвы и вообще информировать её о создании нового контакта. Исследователи пробовали различные векторы заражения и пришли к выводу, что вредоносный контакт можно загрузить на смартфон жертвы и без её ведома: посредством QR-кода, MMS-сообщения или WhatsApp контактов.
Если вредоносный контакт проник на уязвимое устройство, Smart Notice, рано или поздно, отобразит связанное с ним уведомление, обратившись к полю с вредоносным кодом, что приведет к его выполнению. В итоге злоумышленник получит возможность похитить личную информацию пользователя, включая данные, хранящиеся на SD-карте, личные сообщения и данные WhatsApp. Также атакующий может открыть в браузере произвольный сайт, что уже может использоваться для реализации фишинга и drive-by закачек.
Эксперты сообщают, что им удалось загрузить вредоносный скрипт с внешнего источника и, обновляя код раз в несколько секунд, они фактически перехватили контроль над устройством, получив возможность отправки дополнительных пейлодов.
Компания LG уже выпустила обновление для Smart Notice, исправляющее уязвимость. Однако если баг действительно распространяется на все смартфоны, на которых установлено приложение, под угрозой находятся несколько миллионов пользователей, далеко не все из которых регулярно проверяют обновления ПО.
Взято с Xakep.ru