Shumica e njerëzve janë të vetëdijshëm se telefonat e tyre të mençur mund të kenë dobësi të caktuara dhe se duhet të jenë të vëmendshëm kur të zgjedhin që t’i përdorin, se duhet të jenë të vetëdijshëm kur përdorin mënyrat e ofruara për të dërguar dhe pranuar të dhëna të ndjeshme, si dhe të kenë kujdes të shtuar se cilat aplikacione i instalojnë.
Por a do ta kishin marrë me mend se një telefon celular krejtësisht i ri, porsa i dalë nga fabrika, mund t’u ofrohet me një softuer spiunimi të parainstaluar?
Telefonat mund ta kenë një aplikacion të padukshëm që arrin të përthithë privilegje të shumta administratori dhe të bëjë gjëra që ju, si një përdorues, vështirë se mund t'i detektoni apo t’i çaktivizoni, shkruan sot Koha Ditore.
Ky aplikacion madje mund të dërgojë pako të majme të të dhënash në ndonjë server të largët gjatë natës, kur ju, si pronar, jeni duke fjetur apo teksa telefoni juaj është i fikur.
“Ky nuk është trillim”, thonë Angelos Stavrou dhe Ryan Johnson, nga kompania amerikane “Kryptowire”.
Ekspertët e sigurisë kibernetike kanë shprehur shqetësim rreth brishtësisë së pajisjeve telefonike gjatë Konferencës së shkurtit për Mbrojtje të Informatave në Bon.
Nxjerrja e të dhënave e kamufluar me “fonte të këndshme shkronjash”
Njëri prej shembujve më të rëndë të softuerëve spiunues që Stavrou dhe Johnson prezantuan përfshin dy programe të vogla, qëllimi i të cilave është që t’u lejojnë përdoruesve t’i ndryshojnë apo zbukurojnë fontet e shkronjave. Këto programe quhen “lovelyfonts” dhe “lovelyhighfonts”.
Ekspertët e “Kryptowires” kanë zbuluar se këto dy programe bashkëpunojnë në sulmet ndaj pajisjes. Funksionaliteti i këtij “malwarei” është i ndarë në dysh: Njëri prej aplikacioneve është i ngarkuar me komunikimin; tjetri shërben si grumbullues i të dhënave.
Për personat që nuk njihen fort me çështjet teknologjike, të dy këto programe mund të duken si aplikacione të padëmshme. Ato nuk janë të qasshme përmes programit lancues, që do të thotë se shumica e përdoruesve kurrë as nuk do të mund t’i vërejnë. Por ato e hapin një derë të prapme kah kompjuteri për sulme të mundshme dhe po ashtu bartin të dhëna të enkriptuara në një bazë të ruajtjes së të dhënave në Shangai të Kinës.
Identifikimi i dobësive të tjera
“Vetëm në nëntor të vitit 2019 kemi zbuluar rreth 146 defekte të zakonshme gjatë 26 shitësve të ndryshëm”, ka thënë Stavrou. Dhe ai ka bërë të ditur se tashmë kanë identifikuar “me tona” dobësi të tjera që do t’i publikojnë së shpejti. “Pra, nuk është se zbulimet do të përfundojë me kaq”, ka paralajmëruar ai, duke shtuar se “ky nuk është problem i një shitësi të veçantë ose i një kompanie specifike”.
Disa prej dobësive të identifikuara u lejojnë sulmuesve që të depërtojnë në telefonat tuaj nga distanca, të aktivizojnë disa karakteristika, të vjedhin fotografitë e shkrepura të ekranit apo thjesht të regjistrojnë gjithçka që pronari sheh, bën, thotë apo dëgjon, përfshirë shtypjen, shlyerjen dhe korrigjimin e fjalëkalimeve.
“Të gjitha këto aplikacione nuk e shfaqin asnjë shenjë se janë duke operuar”, ka shtuar Stavrou. “Mund të jenë duke funksionuar në sfond, duke i mbledhur të gjitha këto informacione, krejt pa dijeninë tuaj”.
Kush preket?
Problemi i dobësive që i shkaktojnë aplikacionet e parainstaluara ka të ngjarë të mos jetë i kufizuar vetëm në telefonat që operojnë me sistemin “Android”. Mjete të ngjashme mund po ashtu të ekzistojnë edhe në sistemet e tjera operative. Por numri më i madh i pajisjeve “Android” i bën këta telefona më tërheqës për sulmuesit. Dhe mënyra e zhvillimit dhe distribuimit të sistemit softuerik i bën ato më të lehta për depërtim në zinxhirin furnizues të softuerit.
Bazuar në llogaritjet, nga rreth 5 miliardë personave që aktualisht përdorin pajisje mobile, 85 për qind përdorin modele të bazuara në version e sistemit operativ “Android”. Përveç telefonave të mençur, “Androidi” funksionon po ashtu edhe në një sërë pajisjesh tjera të ndërlidhura, si televizorët apo sistemet e argëtimit në automjete. Kësisoj, cenueshmëria i prek edhe ato.
“Porsa aplikacionet të funksionojnë në sistemin e transmetimit, nëse i kalojnë kufijtë e sigurisë dhe potencialisht futen në sistemin e veturave, atëherë mund të kontrollojnë drejtimin, frenimin dhe të kenë ndikim tejet të rëndë”, ka paralajmëruar Ryan Johnson.
Pse “Androidi”?
Kjo gjë është e ndërlidhur ngushtë me mënyrën se si zhvilluesit dhe prodhuesit e telefonave celularë i zgjedhin softuerët për modelet respektive dhe mënyrën se si i krijojnë pajisjet e tyre.
“Androidi është një burim i hapur”, thekson Johnson. “Google”, i cili e bleu “Androidin” më 2005, e vë në dispozicion kodin përmes “Projektit të Burimit të Hapur Android” (AOSP).
Zhvilluesit e softuerëve mund lirshëm ta dizajnojnë sistemin e tyre, duke zgjedhur nga një mori aplikacionesh me funksionalitete të ndryshme në tregun AOSP. Prodhuesit dhe shitësit pastaj zgjedhin aplikacionet që besojnë se do t’i veçonte produktet e tyre specifike nga ato të prodhuesve të tjerë.
“Çdo dobësi në AOSP që do të përfshihet në thelbin e softuerit ‘Android’ u propagandohet shitësve”, ka paralajmëruar Johnson. “Çdo shitës që e përdor këtë version do ta trashëgojë këtë dobësi”.
Kush është përgjegjës për sajimin e problemit?
Shumica e aplikacioneve që shitësit kanë instaluar paraprakisht janë përfshirë në nivelin bërthamë të pajisjes përkatëse. Kjo do të thotë se përdoruesit nuk mund t’i ndryshojnë, çaktivizojnë ose shlyejnë këta komponentë të softuerit.
Dhe shumica e komponentëve në nivelin bërthamë kanë privilegje të caktuara: Për shembull, mund të hapin derën për instalimin automatik të përditësimeve. Dhe softuerit të dëmshëm kësisoj i krijohet mundësia për të abuzuar me këto privilegje.
Shkaku që softueri buron prej një game të gjerë shtigjesh, ekspertët në “Kryptowire” e patën të vështirë madje që t’ua tërheqin vëmendjen prodhuesve dhe shitësve të telefonave të mençur se këto produkte përmbanin përgjues të ndërtuar në sistemet e tyre.
“Kur i zbuluam këto mangësi, ne patëm probleme që ta identifikojmë palën përgjegjëse dhe aktualisht jemi duke kërkuar se kush mund ta zgjidhë këtë problem”, ka thënë Stavrou. “Edhe nëse raportojmë ndonjë gjë, identifikimi dhe rregullimi i problemit kërkon një kohë të gjatë. Dhe në shumë raste nuk marrim përgjigje nga palët që ishin në vendet e jashtme (jashtë SHBA-së)”.
Derisa “Kryptowire” ka zhvilluar një zgjidhje softuerike për t’i detektuar automatikisht mangësitë, kjo gjë ende nuk përbën një lloj zgjidhjeje për klientët e rëndomtë që blejnë pajisje të reja në dyqanet e tyre lokale të pajisjeve elektronike. Edhe nëse e dini se çfarë lloj përgjuesish mund të kenë telefonat tuaj, ju domosdo mund t’i zgjidhni këto telashe vetëm.
Dhe teksa komponentët e rinj të softuerit po përhapen në treg me një fluks marramendës, përgjuesit dhe mjetet e tjera të cenueshme në softuerin e parainstaluar më shumë ka gjasë që të shtohen në numër sesa të frenohen brenda një kohe të shkurtër.
