Quase todos os aplicativos de teclado que permitem aos usuários inserir caracteres chineses em seus dispositivos Android, iOS ou outros dispositivos móveis são vulneráveis ​​a ataques que permitem que um adversário capture todas as teclas digitadas.

Isso inclui dados como credenciais de login, informações financeiras e mensagens que, de outra forma, seriam criptografadas de ponta a ponta, descobriu um novo estudo do Citizen Lab da Universidade de Toronto.

Problema onipresente

Para o estudo, pesquisadores do laboratório consideraram aplicativos Pinyin baseados em nuvem (que transformam caracteres chineses em palavras escritas com letras romanas) de nove fornecedores que vendem para usuários na China: Baidu, Samsung, Huawei, Tencent, Xiaomi, Vivo, OPPO, iFlytek e Honor . A investigação mostrou que todos, exceto o aplicativo da Huawei, estavam transmitindo dados de pressionamento de tecla para a nuvem de uma maneira que permitia que um bisbilhoteiro passivo lesse o conteúdo em texto simples e com pouca dificuldade. Os pesquisadores do Citizen Lab, que ganharam reputação ao longo dos anos por expor múltiplas espionagens cibernéticas, vigilância e outras ameaças direcionados a usuários móveis e à sociedade civil, disseram que cada um deles contém pelo menos uma vulnerabilidade explorável na forma como lidam com as transmissões de pressionamentos de tecla do usuário para a nuvem.

O escopo das vulnerabilidades não deve ser subestimado, escreveram os pesquisadores do Citizen Lab Jeffrey Knockel, Mona Wang e Zoe Reichert em um relatório resumindo suas descobertas esta semana: Os pesquisadores do Citizen Lab descobriram que 76% dos usuários de aplicativos de teclado na China continental, na verdade, use um teclado Pinyin para inserir caracteres chineses.

“Todas as vulnerabilidades que abordamos neste relatório podem ser exploradas de forma totalmente passiva, sem enviar qualquer tráfego de rede adicional”, disseram os pesquisadores. E para começar, as vulnerabilidades foram fáceis de descobrir e não requerem qualquer sofisticação tecnológica para serem exploradas, observaram. “Como tal, podemos perguntar-nos se estas vulnerabilidades estão ativamente sob exploração em massa?”

Cada um dos aplicativos de teclado Pinyin vulneráveis ​​que o Citizen Lab examinou tinha um componente local no dispositivo e um serviço de previsão baseado em nuvem para lidar com longas sequências de sílabas e caracteres particularmente complexos. Dos nove aplicativos analisados, três eram de desenvolvedores de software móvel – Tencent, Baidu e iFlytek. Os cinco restantes eram aplicativos que Samsung, Xiaomi, OPPO, Vivo e Honor – todos fabricantes de dispositivos móveis – desenvolveram por conta própria ou integraram em seus dispositivos de um desenvolvedor terceirizado.

Explorável por meio de métodos ativos e passivos

Os métodos de exploração diferem para cada aplicativo. O aplicativo QQ Pinyin da Tencent para Android e Windows, por exemplo, tinha uma vulnerabilidade que permitiu aos pesquisadores criar uma exploração funcional para descriptografar as teclas digitadas por meio de métodos de espionagem ativos. O IME para Windows do Baidu continha uma vulnerabilidade semelhante, para a qual o Citizen Lab criou uma exploração funcional para descriptografar dados de pressionamento de tecla por meio de métodos de escuta ativos e passivos.

Os pesquisadores encontraram outras falhas de privacidade e segurança relacionadas à criptografia nas versões iOS e Android do Baidu, mas não desenvolveram explorações para elas. O aplicativo da iFlytek para Android tinha uma vulnerabilidade que permitia que um bisbilhoteiro passivo se recuperasse em transmissões de teclado de texto simples devido a insuficiência criptografia móvel.

Do lado do fornecedor de hardware, o aplicativo de teclado desenvolvido pela Samsung não oferecia nenhuma criptografia e, em vez disso, enviava transmissões de pressionamento de tecla de forma clara. A Samsung também oferece aos usuários a opção de usar o aplicativo Sogou da Tencent ou um aplicativo do Baidu em seus dispositivos. Dos dois aplicativos, o Citizen Lab identificou o aplicativo de teclado do Baidu como vulnerável a ataques.

Os pesquisadores não conseguiram identificar nenhum problema com o aplicativo de teclado Pinyin desenvolvido internamente pela Vivo, mas conseguiram explorar uma vulnerabilidade que descobriram em um aplicativo Tencent que também está disponível nos dispositivos da Vivo.

Os aplicativos Pinyin de terceiros (da Baidu, Tencent e iFlytek) que estão disponíveis em dispositivos de outros fabricantes de dispositivos móveis também tinham vulnerabilidades exploráveis.

Acontece que esses problemas não são incomuns. No ano passado, o Citizen Labs conduziu uma investigação separada no Sogou da Tencent – ​​usado por cerca de 450 milhões de pessoas na China – e encontrou vulnerabilidades que expuseram as teclas digitadas a ataques de espionagem.

“Combinando as vulnerabilidades descobertas neste e no nosso relatório anterior analisando os aplicativos de teclado do Sogou, estimamos que até um bilhão de usuários são afetados por essas vulnerabilidades”, disse Citizen Lab.

As vulnerabilidades poderiam permitir vigilância em massa de usuários chineses de dispositivos móveis – inclusive por serviços de inteligência de sinais pertencentes às chamadas nações dos Cinco Olhos – EUA, Reino Unido, Canadá, Austrália e Nova Zelândia – disse o Citizen Lab; as vulnerabilidades nas aplicações de teclado que o Citizen Lab descobriu na sua nova investigação são muito semelhantes às vulnerabilidades no navegador UC desenvolvido na China que as agências de inteligência destes países exploraram para fins de vigilância, observou o relatório.

• Conteúdo com tecnologia de SEO e distribuição de relações públicas. Seja amplificado hoje.
• PlatoData.Network Gerativa Vertical Ai. Capacite-se. Acesse aqui.
• PlatoAiStream. Inteligência Web3. Conhecimento Amplificado. Acesse aqui.
• PlatãoESG. Carbono Tecnologia Limpa, Energia, Ambiente, Solar, Gestão de resíduos. Acesse aqui.
• PlatoHealth. Inteligência em Biotecnologia e Ensaios Clínicos. Acesse aqui.
• Fonte: https://www.darkreading.com/endpoint-security/most-chinese-keyboard-apps-vulnerable-to-eavesdropping