Перейти к содержанию

Подглядывание с помощью датчика освещенности | Блог Касперского

KL FC Bot
 Поделиться

Рекомендуемые сообщения

KL FC Bot Гигант мысли

KL FC Bot

Опубликовано
Опубликовано

Американские исследователи опубликовали в журнале Science статью, в которой описан нетривиальный метод подглядывания за пользователем с помощью встроенного датчика освещенности. Такое устройство установлено абсолютно во всех смартфонах и планшетах, многих ноутбуках и телевизорах. Его основная задача — реагировать на изменение освещенности и соответственно изменять яркость дисплея.

Но для начала необходимо пояснить, зачем использовать плохо подходящий для записи изображения инструмент, когда в любом смартфоне можно воспользоваться обычной камерой? Дело в том, что такие «плохо подходящие» датчики обычно никак не защищены. Представим себе, что атакующий уговорил пользователя установить на смартфон вредоносную программу. Получить доступ к очевидно небезопасным системам, таким как микрофон или фотокамера, ей будет достаточно непросто, а вот к датчику освещенности — пожалуйста, сколько угодно.

Так вот, исследователи доказали, что такой датчик можно использовать в качестве замены фотокамеры. Например — получить снимок руки пользователя, который набирает пин-код на виртуальной клавиатуре. В теории после анализа таких данных можно реконструировать и сам пароль. Это крайне интересная научная работа, хотя и (спойлер!) совершенно непрактичная. В этой статье мы попробуем пересказать ее простыми словами.

Схематическое изображение метода

Схематическое изображение метода «фотосъемки» с использованием датчика освещенности. Источник

Датчик освещенности — штука довольно примитивная. Это светочувствительный фотоэлемент, с помощью которого несколько раз в секунду измеряется яркость освещения. В цифровой фотокамере используются очень похожие (возможно, более миниатюрные) светочувствительные датчики, но там их много миллионов. Объектив проецирует на такую матрицу изображение, яркость каждого элемента измеряется, в результате получается цифровая фотография. По аналогии, датчик освещенности можно назвать самой примитивной цифровой фотокамерой в мире: ее разрешение составляет ровно один пиксель. Как вообще такая штука может фиксировать происходящее вокруг устройства?

 

Посмотреть статью полностью

Ссылка на комментарий
Поделиться на другие сайты

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
 Поделиться
Перейти к списку тем

  • Похожий контент

    • KL FC Bot
      Вам опять причитается много денег | Блог Касперского
      Автор KL FC Bot
      Мошенники постоянно что-нибудь «раздают»: то бесплатные подписки в Telegram, то криптовалюту, то NFT-кроссовки. В новой схеме все по-простому: «раздают» сразу деньги — точнее, делятся способом, как их якобы законно можно получить.
      Жулики с помощью ИИ создали двухминутный ролик, где «журналИИсты» и одна знаменитость рассказывают байки: «Каждый человек может получить компенсацию, для этого нужно всего лишь…». Читайте эту историю, чтобы узнать, что просят сделать жертв и как теперь мошенники завлекают людей в свои схемы.
      Как действуют мошенники
      В рамках этой кампании были разработаны фишинговые сайты, на которых как раз и размещалось видео. Вы не сможете найти его на YouTube или других видеохостингах (извините, но ради вашей безопасности мы тоже им не поделимся), потому что там подобный ИИ-контент довольно-таки быстро удаляют. С подконтрольными злоумышленникам сайтами все сложнее, особенно когда ссылки на них рассылают в почте и мессенджерах.
      Теперь о самом интересном: о видео. Выглядит оно как свежий выпуск бразильских новостей, но с одним нюансом. Новости — фейковые, они «сняты» без согласия журналистов. Мошенники в качестве фактуры использовали настоящий выпуск новостей, на который наложили закадровую озвучку, сделанную с помощью ИИ, а также синхронизировали движения губ с новым текстом. Итак, ИИ-клоны реальных журналистов рассуждают о «нарушениях», допущенных одним из популярнейших банков страны.
      «Банковские балансы клиентов уменьшаются без всякой причины или даже полностью обнуляются». «Несправедливо блокируются счета». «Процентные ставки по кредитам завышаются». Часть фейковой статьи, созданной ИИ для этой схемы
       
      View the full article
    • KL FC Bot
      Кража фото и данных смартфона через USB-зарядку при помощи ChoiceJacking | Блог Касперского
      Автор KL FC Bot
      Можно ли скачать или стереть со смартфона ваши фото и другие данные, пока он заряжается от общественной зарядки — в транспорте, в поликлинике, в аэропорту и так далее? Несмотря на предосторожности производителей, это порой возможно.
      Впервые о таких атаках задумались в 2011 году — если невинно выглядящий порт USB-зарядки не просто поставляет электричество, а содержит скрытый компьютер, то он может подключиться к смартфону в режиме передачи данных (Media Transfer Protocol, MTP, или Picture Transfer Protocol, PTP) и скачать часть информации с устройства. Атака получила название Juice-Jacking, а Google с Apple быстро придумали защиту: при подключении к устройству, поддерживающему MTP/PTP, смартфон спрашивает, нужно ли передавать данные, или только заряжаться. На многие годы эта нехитрая предосторожность сняла вопрос с повестки дня, но в 2025 году исследователи из технологического университета Граца (Graz University of Technology) обнаружили, что этот способ защиты можно обойти.
      Атака ChoiceJacking
      В новых атаках вредоносное устройство, замаскированное под зарядную станцию, само подтверждает, что жертва «хочет» подключиться именно в режиме передачи данных. В зависимости от производителя и версии ОС у атаки есть три разновидности. Все они по-разному обходят одно ограничение протокола USB: устройство не может одновременно подключаться в режиме хоста (компьютера) и периферии (мыши или клавиатуры).
      Первая разновидность атаки, эффективная и для iOS, и для Android, наиболее сложна в реализации. Под зарядную станцию нужно замаскировать микрокомпьютер, который умеет подключаться к смартфону под видом USB-клавиатуры, USB-хоста (компьютера) и Bluetooth-клавиатуры.
      При подключении смартфона вредоносная зарядная станция притворяется USB-клавиатурой и отправляет с нее команды на включение Bluetooth и подключение к смартфону Bluetooth-устройства — все того же вредоносного комбайна, который теперь прикидывается еще и Bluetooth-клавиатурой. После этого атакующая система переподключается к смартфону по USB, но уже под видом компьютера. На экране возникает вопрос о включении режима передачи данных — и атакующее устройство передает подтверждение с помощью Bluetooth-клавиатуры.
       
      View the full article
    • KL FC Bot
      Несколько уязвимостей в CMS Sitecore | Блог Касперского
      Автор KL FC Bot
      Исследователи обнаружили три уязвимости в популярной платформе для контент-менеджмента Sitecore Experience Platform:
      CVE-2025-34509 заключается в наличии жестко заданного в коде пароля (причем состоящего из одной буквы), позволяющего атакующему удаленно аутентифицироваться в служебной учетной записи; CVE-2025-34510 — уязвимость типа Zip Slip, позволяющая аутентифицированному пользователю загрузить ZIP-архив и распаковать его в корневую папку сайта; CVE-2025-34511 также позволяет загрузить на сайт посторонний файл, но на этот раз вообще произвольный. Используя первую уязвимость совместно с любой из остальных двух, атакующий может удаленно добиться выполнения произвольного кода (RCE) на сервере под управлением Sitecore Experience Platform.
      На данный момент нет свидетельств об использовании этих уязвимостей в реальных атаках, однако опубликованный экспертами из watchTowr Labs анализ содержит достаточно подробностей для создания эксплойта, так что злоумышленники могут взять их на вооружение в любой момент.
       
      View the full article
    • KL FC Bot
      Как защитить онлайн-коммерцию от атак мошенников | Блог Касперского
      Автор KL FC Bot
      По данным исследовательской компании Juniper Research, оборот электронной торговли в 2024 году превысил 7 триллионов долларов и, по прогнозам, вырастет в полтора раза за следующие пять лет. Но интерес злоумышленников к этой сфере растет еще быстрее. В прошлом году потери от мошенничества превысили $44 млрд, а за пять лет вырастут до $107 млрд.
      Онлайн-площадка любого размера, работающая в любой сфере, может стать жертвой — будь это маркетплейс контента, магазин стройматериалов, бюро путешествий или сайт аквапарка. Если вы принимаете платежи, ведете программу лояльности, поддерживаете личный кабинет клиента — к вам обязательно придут мошенники. Какие схемы атаки наиболее популярны, что за потери несет бизнес и как все это прекратить?
      Кража аккаунтов
      Благодаря инфостилерам и различным утечкам баз данных у злоумышленников на руках есть миллиарды пар e-mail+пароль. Их можно по очереди пробовать на любых сайтах с личным кабинетом, небезосновательно надеясь, что жертва атаки везде использует один и тот же пароль. Эта атака называется credential stuffing, и, если она будет успешна, злоумышленники смогут от имени клиента оплачивать заказы привязанной к аккаунту кредитной картой или использовать баллы лояльности. Также мошенники могут использовать аккаунт для махинаций с покупкой товаров и оплатой сторонними банковскими картами.
       
      View the full article
    • KL FC Bot
      Сколько стоит инцидент АСУ ТП | Блог Касперского
      Автор KL FC Bot
      Хотя о цифровой трансформации промышленности говорят больше десяти лет, переломный момент в цифровизации наступает только сейчас. Согласно отчету VDC Research Securing OT with Purpose-built Solutions, лишь 7,6% промышленных организаций сегодня считают себя полностью цифровыми, но уже через два года в этом статусе видят себя 63,6%. Это обусловлено, с одной стороны, экономическим давлением на компании и необходимостью радикально повысить эффективность бизнеса, а с другой, — возросшей доступностью нужных технологий, таких как промышленный Интернет вещей и периферийные вычисления (IIoT, edge computing).
      Цифровизация производства повышает эффективность и безопасность на предприятиях. В большинстве организаций уже внедрены системы управления активами, техническим обслуживанием и цепочками поставок, которые помогают снижать простои и операционные затраты. Более продвинутые технологии, такие как цифровые двойники и предиктивная аналитика, радикально улучшают процессы, увеличивают выход готовой продукции и снижают непроизводительные затраты материалов и ресурсов. Интеграция данных из ИТ-систем и АСУ ТП позволяет организациям принимать решения в режиме реального времени на основе свежих данных.
      Оборотной стороной интеграции становится уязвимость: системы, которые ранее были изолированы или вообще не были цифровыми, становятся подвержены ИТ-сбоям и прямым кибератакам. Атаки на ОТ-системы чреваты увеличением процента брака, поломкой сложного оборудования, нарушением производственных процессов по цепочке и даже катастрофическими ситуациями на производстве, угрожающими жизни сотрудников. Даже кратковременные сбои могут иметь значительные последствия для бизнеса и подорвать репутацию организации.
      Основные препятствия на пути цифровизации производства
      Опасения по вопросам ИБ стали главным препятствием для проектов цифровой трансформации производства на опрошенных предприятиях. Почти 40% опрошенных должны решить эту проблему, чтобы продвигаться дальше. В горячую тройку трудностей также вошли дефицит бюджета и наличие устаревшего оборудования, которое для цифровых проектов слишком сложно и дорого обновлять.
      Что касается проблем ИБ, то среди них доминируют: недостаток ресурсов на защиту АСУ ТП, недостаточный уровень мер ИБ в существующий инфраструктуре компании и вопросы регуляторного соответствия.
       
      View the full article
×
×
  • Создать...