Компанія iVerify, що займається кібербезпекою, оприлюднила новий звіт про вразливість в смартфонах Google Pixel. Зазначається, що більшість таких телефонів, проданих з вересня 2017 року, включали ПЗ, яке можна використовувати для стеження або віддаленого керування пристроями користувачів.
Вразливість була виявлена після того, як сканер iVerify EDR позначив незахищений пристрій Android в компанії Palantir Technologies – клієнті iVerify. Після початку спільного розслідування iVerify, Palantir і Trail of Bits виявили прихований пакет програмного забезпечення Android — Showcase.apk — на пристроях Google Pixel. Після цього Palantir, що займається аналізом даних, заборонила пристрої Android у всій компанії.
Згідно зі звітом iVerify, програмне забезпечення було розроблено компанією Smith Micro Software і, схоже, було створено для Verizon для демонстрацій у магазинах. Програма була неактивною за замовчуванням і її потрібно було ввімкнути вручну.
«В активному стані Showcase.apk робить операційну систему доступною для хакерів і готовою для атак «людина посередині», впровадження коду та шпигунського програмного забезпечення», — йдеться у звіті. «Вплив цієї вразливості є значним і може призвести до втрати даних на загальну суму мільярдів доларів».
Речник Google Ед Фернандес заявив, що це програмне забезпечення було створено «для демонстраційних пристроїв Verizon у магазинах і більше не використовується». Він додав, що Google «не бачить жодних доказів будь-якої активної експлуатації» цієї вразливості.
iVerify повідомила Google про свою знахідку на початку травня. Компанія публічно не оприлюднила вразливість і не випустила оновлення програмного забезпечення для усунення проблеми. «Найближчими тижнями» планується видалити цей застосунок з усіх пристроїв Pixel.
Джерело: The Verge