Киберпаранойя 6.1 — 10 неочевидных опасностей, которые встречаются всюду

Обычно, собирая материал для рубрики «Киберпаранойя», мы стремимся рассказать про какую-то уязвимость или опасность, привести примеры ее использования и дать советы по защите. Однако сегодня немного отойдем от данной концепции. Вместо этого мы расскажем о том, как технологии, встречающиеся на каждом углу, могут использоваться (и используются) для совершения неочевидных и даже экзотических атак. Звучит запутанно, но сейчас все станет понятно.

Роутер вместо веб-камеры

Начитавшись статей вроде тех, что мы публикуем в нашей рубрике, многие люди покупают шторки для веб-камер (и правильно делают). Однако видеть вас можно не только с помощью камер. И нет, мы не про подглядывание в окно через телескоп — такие «атаки» не подходят данной рубрике по концепту (хотя если подсматривать пароли…). Речь про использование Wi-Fi-роутера в качестве 3D-видеокамеры.

И если подобное кажется вам бредом или какими-то фантастическими технологиями — этот способ был реализован группой студентов еще в далеком 2017 году, и с тех пор многократно воспроизводился разными энтузиастами. Причем, если в самом первом эксперименте количество получаемых кадров составляло около 10 в секунду, то в последующих экспериментах их число увеличивалось.

А уж если вспомнить о том, что сегодня подвезли еще и нейросети… Для тех, кому интересно, как же роутер вдруг становится камерой, все просто: излучаемые им радиоволны отражаются от разных объектов по-разному. Что позволяет рисовать 3D-модель пространства в реальном времени. Если же вам интересны более глубокие технические детали — вы можете найти их здесь. А мы идем дальше.

Гироскоп вместо микрофона

Везде ходите с современным смартфоном, носите фитнес-трекер или пользуетесь любым другим гаджетом, «понимающим», двигается ли он в пространстве? Поздравляем — через него вас можно прослушать. Причем наличие или отсутствие разрешений для микрофона, и даже его физическое отсутствие, никак не смогут этому помешать. То есть вы можете вырвать из своего смартфона микрофон, но если у него есть гироскоп, вас все равно можно будет услышать.

Что? Как? Почему? Все просто. Звук — это вибрация. А гироскоп — точнее МСЭМ-датчик положения, включающий в себя гироскоп и акселерометр, анализируют именно вибрации. Фитнес-трекер работает без GPS потому, что понимает, что ваша рука движется (по сути, вы просто его трясете). Телефон не перевернет картинку, если вы повернете его очень аккуратно — чтобы автоповорот сработал, нужна тряска.

Можно было бы приводить еще много примеров, но, как нам кажется, это лишнее. Вместо этого повторим: звук — это вибрация. А потому любой звук немного «шатает» ваш телефон. И современные МСЭМ-датчики положения способны это «шатание» улавливать. Дальше все упирается лишь в софт, который расшифрует полученные сигналы. Так вот такой софт был создан еще в 2011 году, и он позволял…

Микрофон, шпионящий за клавиатурой

А позволял он интерпретировать, какие именно кнопки вы нажимаете на клавиатуре. Да-да, вы правильно поняли: гироскоп в вашем телефоне позволяет удаленно знать, какие кнопки вы нажимаете на клавиатуре своего компьютера. Такие дела. Впрочем, раз такое позволяют гироскопы, то камеры (даже отвернутые в другую сторону) и микрофоны — уж и подавно.

Причем, если раньше метод не был особо распространен из-за того, что без достаточно мощного железа было сложно идентифицировать клавиши «незнакомой клавиатуры», то сегодня, благодаря распространению нейросетей, все стало проще. Настолько проще, что тема перестала быть уделом спецслужб и кибергуру. А теперь вспоминаем, что гироскопы есть не только в смартфонах.

Как думаете, сложно ли взломать фитнес-трекер?

Маршрутка-хакер

Точно не сложнее, чем купить на Aliexpress приблуду за $15 и засунуть ее в USB-зарядку современного автобуса, трамвая или электрички. Учитывая, какое количество людей ежедневно ездит на общественном транспорте — это практически гарантированный взлом ежедневно. Причем далеко не один и не два взлома. Даже если отбросить часть гаджетов, условно посчитав их неприступными — речь все равно про десятки устройств ежедневно.

И ведь обнаружить точку входа в устройство в этом случае будет практически нереально: никто же не запоминает номера маршрутки, на которой едет. А в метро так и вовсе нет привычных номеров. Аналогично можно поступать и разного рода «Бери Заряд», правда там у хакера больше шансов спалиться. А вот маршрутки, электрички и вагоны метро — идеальный вариант для подобного. Тем более что ездят на них пользователи разного уровня осведомленности.

Бум аккум

И если вы, читая раздел выше, подумали что-то в стиле: «ой-ой-ой, как же страшно жить» — это еще не страшно. Все эти взломы и слежки — это неприятно, но само по себе безобидно. И, кстати, многие хакеры ничего и не делают после получения доступа — просто «смотрят чью-то жизнь, как сериальчик». Можно, конечно, украсть ваши деньги или даже похитить вас — но это уже отдельное преступление, а не взлом.

А вот что в отдельное действие вынести сложно — так это возможность взорвать ваш телефон дистанционно. Или наушники. Или смарт-часы. Да в общем-то абсолютно любой гаджет, использующий литиевый аккумулятор. А это практически любой современный гаджет. Если вы думаете, что так могу только спецслужбы — отнюдь. Весь прикол в том, что для этого не нужно ничего «мочь» — АКБ никак не защищен.

Точнее защищен — от перегрева. Но он никак не защищен от взлома. Вообще никак. Получив доступ к ядру смартфона, можно просто выключить защиту от перегрева, зациклить какую-то «тяжелую» задачу — и все. Спустя несколько минут вас ждет в лучшем случае серьезный ожог (вспоминаем, где вы обычно носите телефон). А в худшем — полноценный взрыв, сопоставимый с разрывом гранаты (но без осколков).

Теперь живите с этим ¯\_(ツ)_/¯

Трекер в конверте

Впрочем, давайте снизим градус, и вместо взрывов поговорим о чем-то более приземленном. Например, столь родном для многих арбитражников инструменте, как пиксель. Так вот, он бывает не только на лендах арбитранов. И вообще не только на веб-сайтах. Пиксели также засовывают в электронные письма. И пылесосят инфы такие пиксели порядочно.

А уж если вспомнить, что все эти спылесошенные данные многократно перепродаются и пересобираются воедино, то станет понятно, почему после простого открытия очередного спам-письма вам вдруг начинает сыпаться 100500 спам-звонков на телефон — хотя вы, казалось бы, свой номер не оставляли.

Отпечатки пальцев по селфи

Здесь, признаемся, мы немного побаловались кликбейтом — речь не про селфи, а про любую фотографию. Точнее не любую, а фотографию, сделанную на достаточно качественную камеру. Ну и еще на ней должно быть видно подушечку пальца, не по ногтю же рисовать отпечаток. А на этом собственно и все — ваши отпечатки можно срисовать, сфоткав вас на телефон с норм камерой. Идем дальше…

Взлом через камеру

А точнее — через QR-коды. В целом мы уже освещали тему взломов через QR-коды достаточно глубоко в отдельной статье, а потому надолго останавливаться на ней не будем. Просто напомним — не сканируйте все подряд. А особенно разного рода объявления о том, что в вашем подъезде/доме/районе создали официальный чат от Администрации (автор особенно громко крикает с «Администрации подъезда»).

Подмена обновлений через фейковый Wi-Fi

Тематика опасности использования публичных, в особенности незнакомых вам Wi-Fi, исписана вдоль и поперек. Как, впрочем, и тематика опасности Wi-Fi как такового. И что — это кого-то останавливает? Отнюдь. А потому напишем про Wi-Fi в 100501-й раз. Впрочем, пусть этот раз будет хоть чем-то отличаться от прочих. А потому речь будет идти о взломе не через взломанный Wi-Fi, а через фейковый.

Проще говоря, злоумышленник может просто прийти в общественное место, поднять сеть с таким же названием (опционально еще можно уронить оригинал), а дальше настроить маршрутизацию таким образом, чтобы ОС подключенных девайсов думала, что вышел очередной апдейт и пора обновиться. Разумеется, вместо обновы при этом будет скачиваться вредоносный код.

Пылесосим инфу пылесосом

А закончим мы нашу подборку чуть менее экзотической, но при этом все еще для многих неочевидной уязвимостью — роботами-пылесосами. Во-первых, большинство современных моделей оснащено камерами, лазерами и прочими датчиками, позволяющими не просто отрисовывать все происходящее в реальном времени, но даже видеть то, что скрыто от глаза человека.

Во-вторых, даже если вы решите упороться и найдете модель без камеры и лазеров (к эффективности уборки будут вопросики) — все еще остаются описанные выше способы отрисовки через анализ распространения радиоволн (а пылесос связывается с «базой» постоянно). Кроме того, вас все еще можно подслушивать через гироскоп — в роботах-пылесосах они тоже есть. Точнее МСЭМ-датчик положения, но не суть.

Ну и в-третьих, и это главная уязвимость роботов-пылесосов — 99,9% моделей на рынке требуют наличия связи с серверами производителя для работы. Аргументируется это тем, что якобы именно сервера рисуют карты комнат, и без них ваш робо-сос не сможет ориентироваться в пространстве. Однако кто мешает просто сохранить уже нарисованную карту? Вот и думайте…

Впрочем, опасность здесь представляет даже не сама компания-производитель — они все пылесосят инфу. Реальная опасность в том, что вы не сможете отключить гаджет от интернета. А значит, к нему сможет подключиться кто угодно, кто обладает достаточными знаниями. И как-либо защититься от этого невозможно.

Подводя итоги

Все, о чем мы писали выше — лишь малая часть айсберга. В реальности неочевидных способов использования встречающихся на каждом углу технологий в тысячи раз больше. И, к сожалению, в большинстве случаев единственная доступная защита — отказ от использования самой технологии.

Впрочем, бывают случаи, когда и такой возможности нет — как, например, в случае с уличными веб-камерами. Надеемся, после прочтения данной статьи у вас стало чуть больше представления о сабже — ведь осведомленность всегда лучше неведенья.