Компания Symantec рассказала, каким образом злоумышленники могут получить доступ к данным, которые передаются через WhatsApp, Telegram и некоторые другие мессенджеры. Уязвимость актуальна только для смартфонов на базе Android.
На Android мессенджеры могут выбирать место для хранения полученных и отправленных файлов (фотографий, видео, голосовых сообщений и т. п.) — внутреннее хранилище, доступное только этому приложению, или внешнее хранилище, доступ к которому открыт другим установленным приложениям. WhatsApp по умолчанию хранит медиафайлы во внешнем хранилище, а Telegram сохраняет их туда после включения соответствующей опции.
Как выяснили специалисты Symantec, вредоносное приложение может относительно легко получить доступ к внешнему хранилищу и передавать находящиеся там файлы злоумышленникам. Более того, вирус может перехватывать данные ещё до того, как их увидит пользователь, и удалять их.
Исследователи назвали этот тип атаки Media File Jacking. Об этой проблеме было известно и раньше, поэтому разработчикам придётся идти на компромисс: файлы, хранящиеся в общедоступном месте, можно использовать не только в конкретном мессенджере, но и в других приложениях, что несомненно, намного более удобно, чем если бы доступ к ним был закрыт. Другое дело, что зачастую пользователю не предоставляется выбор, где хранить эти файлы, хотя многие люди предпочли бы удобству усиленную безопасность.
Разработчики Telegram никак не прокомментировали находку Symantec, а представители WhatsApp заявили, что хранение медиафайлов в закрытом хранилище представляет определённые неудобства, более того, могло бы вызвать дополнительные проблемы, связанные с безопасностью.
Компания WhatsApp внимательно изучала этот вопрос и другие проблемы, касающиеся хранения файлов в мобильной экосистеме. В настоящее время WhatsApp придерживает общепринятой практики, предложенной операционной системой для хранения медиафайлов, а обновлённые версии мессенджера будут развиваться вместе с разработкой Android.
iGuides в Telegram — t.me/igmedia
iGuides в Яндекс.Дзен — zen.yandex.ru/iguides.ru
