Ny typ av keylogger på din smartphone

Det här slår mig som innovativt. Forskare har undersökt möjligheten att göra en keylogger som använder sig av rörelsesensorer i telefonen. De har konstruerat en PoC för Android som har en träffsäkerhet på 70%, som fungerar utan några särskilda rättigheter. Man installerar alltså en app som ser helt oskyldig ut på alla sätt och vis, och åker då på en keylogger. Ouch!

Det här blir särskilt intressant i sammanhanget att W3C har släppt ett förslag på hur man via javascript ska kunna nå telefonens accelerometer och gyroskop. Trillar allt det här igenom utan att någon uppmärksammar det kommer det alltså kunna hamna i läget att om man skulle gå till en webbsida och sedan gå över till en annan app, kan den webbsidan köra en keylogger som lyssnar av t.ex. SMS, mail, chatt och lösenord.


Och tycker man att 70% är lite för lite så kan man ha i tankarna att det här bara är en första studie, som säkerligen kan förfinas. Forskarna nämner exempelvis att använda fler sensorer, och själva skulle jag nog vilja lägga till någon sorts mönstermatchning mot ord som dels skulle kunna hitta orden, dels lära upp mer fingranulärt när en viss "tangent" används. Very cool!

Jag äger din Android-telefon

... nja, kanske inte jag som snäll IT-säkerhetskonsult. Men, förra veckan sparkade Google upp dörrarna för att andra kommer göra det. Nya Android Market ger nämligen möjlighet att installera och köra kod på din Gmail-anslutna telefon!

Inga varningar, inga frågor... kommer någon över ditt gmail-konto är telefonen rökt. Och ja, det gäller även apps-konton.

Riktigt, riktigt dålig idé. Tänk bara vilka möjligheter det erbjuder botnätet ZeuS som redan har mjukvara till telefoner för att snappa upp SMS för tvåfaktorsautentisering.

= Kodexekvering

Nu räknar åtminstone jag dagarna tills den här funktionen ändras eller tas bort. Också intressant att veta att Google har en så enkel möjlighet att köra kod på din telefon. Tänk vad det kan göra för intresserade parter (tänk: polis, underrättelsetjänst).