Η Check Point Research (CPR) εντόπισε ευπάθειες στον μηχανισμό πληρωμών μέσω κινητού τηλεφώνου η οποία σε περίπτωση που δεν επιδιορθωθεί, ένας εισβολέας θα μπορούσε να κλέψει τους κωδικούς που χρησιμοποιούνται για την υπογραφή των Wechat Pay πακέτων ελέγχου και πληρωμών.

Στη χειρότερη περίπτωση, μια μη εξουσιοδοτημένη εφαρμογή Android θα μπορούσε να δημιουργήσει και να υπογράψει ένα ψεύτικο πακέτο πληρωμής.

Συγκεκριμένα, οι ευπάθειες εντοπίστηκαν στο αξιόπιστο περιβάλλον της Xiaomi, το οποίο είναι υπεύθυνο για την αποθήκευση και τη διαχείριση ευαίσθητων πληροφοριών, όπως κωδικούς πρόσβασης. Οι συσκευές που μελετήθηκαν από τη CPR τροφοδοτούνταν από τσιπ της MediaTek.

Δύο είδη επίθεσης

Η CPR ανακάλυψε δύο τρόπους επίθεσης στον αξιόπιστο κώδικα:

  1. Από μια μη εξουσιοδοτημένη εφαρμογή Android: Ο χρήστης εγκαθιστά μια κακόβουλη εφαρμογή και την εκκινεί. Η εφαρμογή εξάγει τα κλειδιά και στέλνει ένα ψεύτικο πακέτο πληρωμής για να κλέψει τα χρήματα
  2. Εάν ο δράστης έχει τις συσκευές-στόχους στα χέρια του: Ο επιτιθέμενος κάνει root τη συσκευή, στη συνέχεια υποβαθμίζει το περιβάλλον εμπιστοσύνης και στη συνέχεια εκτελεί τον κώδικα για να δημιουργήσει ένα ψεύτικο πακέτο πληρωμών χωρίς εφαρμογή.

Η CPR γνωστοποίησε τα ευρήματά της στη Xiaomi η οποία τα αναγνώρισε και προχώρησε στην έκδοση των απαραίτητων διορθώσεων.

«Αν οι πληρωμές μέσω κινητού δεν είναι ασφαλείς, τότε τι είναι;»

«Ανακαλύψαμε ένα σύνολο ευπαθειών που θα μπορούσαν να επιτρέψουν την παραποίηση πακέτων πληρωμών ή την απενεργοποίηση του συστήματος πληρωμών απευθείας, από μια εφαρμογή Android. Καταφέραμε να παραβιάσουμε το WeChat Pay και να υλοποιήσουμε μια πλήρως ολοκληρωμένη επίδειξη της παραβίασης. Η μελέτη μας σηματοδοτεί την πρώτη φορά που οι αξιόπιστες εφαρμογές της Xiaomi εξετάζονται για θέματα ασφαλείας. Κοινοποιήσαμε αμέσως τα ευρήματά μας στην Xiaomi, η οποία εργάστηκε γρήγορα για να εκδώσει μια διόρθωση. Το μήνυμά μας προς το κοινό είναι να βεβαιώνεστε συνεχώς ότι τα τηλέφωνά σας είναι ενημερωμένα στην τελευταία έκδοση που παρέχεται από τον κατασκευαστή. Αν ακόμη και οι πληρωμές μέσω κινητού δεν είναι ασφαλείς, τότε τι είναι;», αναφέρει ο Slava Makkaveev, Security Researcher της Check Point.

Ακολουθήστε τον ot.grστο Google News και μάθετε πρώτοι όλες τις ειδήσεις
Δείτε όλες τις τελευταίες Ειδήσεις από την Ελλάδα και τον Κόσμο, στον ot.gr
Ειδήσεις σήμερα Υποκλοπές: Δριμεία κριτική της κυβέρνησης στον ΣΥΡΙΖΑ για την κυβερνοασφάλεια Πώς δρουν οι απατεώνες του διαδικτύου – Ο «ρομαντικός», ο «φίλος» και η «ευκαιρία» Κυβερνοασφάλεια: Αύξηση των επιθέσεων κατά 114% στον τομέα της εκπαίδευσης τα τελευταία 2 χρόνια

Latest News

Credit Suisse: Η ελβετική κυβέρνηση ανέστειλε τις πληρωμές μπόνους Wall Street: Τεχνολογική ώθηση έλαβε το χρηματιστήριο της Νέας Υόρκης Απολύσεις-Τεχνολογία: Κοντά στο μισό εκατομμύριο τους τελευταίους 12 μήνες [Γράφημα] Partial restart of rail service in Greece on Wed. with stepped up security, staffing in place Σκρέκας στη Βουλή: «Το νερό ήταν και παραμένει δημόσιο αγαθό» Tράπεζες: Τσουνάμι απολύσεων φοβούνται τώρα σε Credit Suisse και UBS
ΝΑΤΟ: Πρωταθλήτρια η Ελλάδα στις αμυντικές δαπάνες – Η πλειοψηφία ζητάει ίδιες ή και μεγαλύτερες Βουλή: Υπερψηφίσθηκε το νομοσχέδιο για τη νέα Ρυθμιστική Αρχή Αποβλήτων, Ενέργειας και Υδάτων Attica Banκ: Κατ’ αρχήν συμφωνία με Thrivest για την αύξηση του μετοχικού κεφαλαίου Providers announce significantly lower power rates in Greece for next month Credit Suisse: Οι ομολογιούχοι ΑΤ 1 οι μεγάλοι χαμένοι της διάσωσης [γράφημα] Πώς «διάβασε» την επίσκεψη Σι Τζινπίνγκ στη Ρωσία ο κινεζικός Τύπος
Διαβάστε περισσότερα
Πρόσφατα Άρθρα Τεχνολογία
Τεχνητή νοημοσύνη: Εφαρμογή δημιουργίας κλινικών σημειώσεων
Tεχνητή νοημοσύνη |

Εφαρμογή τεχνητής νοημοσύνης γίνεται το... δεξί χέρι των γιατρών

Το DAX Express δημιουργεί κλινικές σημειώσεις μέσα σε δευτερόλεπτα, έτσι ώστε οι γιατροί να μπορούν να ελέγχουν αμέσως τις αυτοματοποιημένες περιλήψεις των επισκέψεών τους σε ασθενείς