احذر.. تطبيقات الهواتف الذكية تسمح باختراق المتسللين

اكتشف باحثو الأمن السيبراني أن عددًا كبيرًا من تطبيقات الهاتف المحمول تحتوي على "أسرار خفية" مضمونة تسمح للمتسللين بالوصول إلى البيانات الخاصة أو حظر المحتوى المقدم من المستخدمين.

 

قال مؤلف الدراسة Zhiqiang Lin من جامعة ولاية أوهايو في الولايات المتحدة، إن التطبيقات على الهواتف المحمولة قد يكون لديها سلوكيات خفية أو ضارة حول المستخدمين النهائيين الذين يعرفون القليل أو لا شيء.

 

وأضاف لين: "عادةً ، تتفاعل تطبيقات الجوال مع المستخدمين من خلال معالجة مدخلات المستخدم والرد عليها، على سبيل المثال، يحتاج المستخدمون غالبًا إلى كتابة كلمات أو جمل معينة أو النقر على الأزرار وشاشات الشرائح، وتحث هذه المدخلات التطبيق على تنفيذ إجراءات مختلفة".

 

قام الفريق بتقييم 150.000 تطبيق، واختاروا أفضل 100000 بناءً على عدد التنزيلات من متجر Google Play، وأعلى 20000 من سوق بديل ، و 30،000 من التطبيقات المثبتة مسبقًا على الهواتف الذكية التي تعمل بنظام Android.

 

ووجدوا أن 12،706 من تلك التطبيقات، حوالي 8.5%، تحتوي على شيء وصفه فريق البحث بـ "الأسرار الخلفية"، السلوكيات الخفية داخل التطبيق التي تقبل أنواعًا معينة من المحتوى لإثارة سلوكيات غير معروفة للمستخدمين العاديين.

 

ووجدوا أيضًا أن بعض التطبيقات تحتوي على "كلمات مرور رئيسية" مدمجة تسمح لأي شخص لديه كلمة المرور هذه بالوصول إلى التطبيق وأي بيانات خاصة مضمنة فيه.

 

ووجدوا أن بعض التطبيقات تحتوي على مفاتيح وصول سرية يمكن أن تؤدي إلى خيارات

مخفية، بما في ذلك تجاوز الدفع.

 

قال لين: "كل من المستخدمين والمطورين معرضين للخطر إذا حصل شخص سيئ على" الأسرار الخلفية، ويمكن للمهاجمين المتحمسين عكس هندسة تطبيقات الهاتف المحمول لاكتشافها".

 

وفقًا للدراسة، غالبًا ما يفترض المطورون خطأً أن الهندسة العكسية لتطبيقاتهم ليست تهديدًا مشروعًا.

قال المؤلف الرئيس للدراسة تشينجتشوان تشاو: "السبب وراء احتواء تطبيقات الهاتف المحمول على هذه الأسرار الخلفية هو أن المطورين وضعوا الثقة في غير محلها، ولتأمين تطبيقاتهم حقًا، يحتاج مطوروهم إلى إجراء عمليات التحقق من صحة إدخال المستخدم ذات الصلة بالأمان ودفع أسرارهم على خوادم الواجهة الخلفية".

كما طور فريق البحث أداة مفتوحة المصدر تسمى InputScope لمساعدة المطورين على فهم نقاط الضعف في تطبيقاتهم ولإثبات أن عملية الهندسة العكسية يمكن أن تكون مؤتمتة بالكامل.

تم قبول الدراسة للنشر في ندوة IEEE لعام 2020 حول الأمن والخصوصية في مايو، وتم نقل المؤتمر عبر الإنترنت بسبب تفشي فيروس كورونا COVID-19.