Что такое NoReboot и как защититься от подобной атаки | Блог Касперского

Атака NoReboot демонстрирует, как зловред может закрепиться в операционной системе смартфоне без использования соответствующей уязвимости.

Выключить смартфон — самое логичное действие, если вы хотите быть уверены, что смартфон совершенно точно не будет за вами следить или подслушивать какой-нибудь важный разговор, даже если телефон заражен каким-нибудь суровым шпионским трояном.

Также выключение или перезагрузка смартфона — одна из эффективных мер для борьбы с подобными заражениями: во многих случаях шпионские трояны не могут навсегда закрепиться в операционной системе и «живут» только до ближайшей перезагрузки. При этом уязвимости, которые позволяют зловредам работать и после перезагрузки, крайне редки и дорогостоящи.

Но эта мера может перестать работать: исследователи придумали, как ее можно обойти с помощью метода, который они назвали NoReboot. Суть этой атаки заключается в имитации перезагрузки.

Что такое NoReboot и как работает эта атака

Стоит сразу подчеркнуть, что NoReboot — это не функция какого-то реально используемого атакующими шпионского трояна, а так называемая демонстрация осуществимости атаки, проведенная исследователями в лабораторных условиях. Приживется ли этот метод на практике, пока сложно сказать.

Для демонстрации исследователи использовали заранее «зараженный» iPhone. К сожалению, никаких технических подробностей они не приводят, а фокусируются на основных принципах атаки. Итак, вот что происходит в ходе демонстрации:

• На айфоне запущен шпионский зловред, который передает изображение с камеры.
• Пользователь пытается выключить айфон обычным способом, нажимая и удерживая одновременно кнопки включения и уменьшения громкости.
• В этот момент зловред перехватывает управление и вместо стандартного экрана выключения iOS показывает его полную имитацию.
• После того как пользователь проводит пальцем по привычно выглядящему слайдеру «Выключите», экран смартфона темнеет и аппарат перестает реагировать на какие-либо действия пользователя.
• Однако если пользователь нажимает кнопку включения, то зловред показывает полную имитацию процесса загрузки iOS.
• Все это время смартфон втайне от пользователя непрерывно передает изображение с фронтальной камеры смартфона на другое устройство.

Как это часто бывает, лучше один раз увидеть, чем сто раз услышать, поэтому рекомендуем посмотреть снятое исследователями видео — в нем все очень наглядно показано:

Как можно защититься от NoReboot

Еще раз подчеркнем, что пока NoReboot — это лишь демонстрация осуществимости атаки, а не реально используемый на практике метод. В целом ситуация выглядит не безнадежно: следует помнить о том, что для начала зловред должен как-то попасть на смартфон. Поэтому тут можно посоветовать следующее:

• Дистанционно заразить смартфон гораздо сложнее, чем при физическом доступе к устройству. Поэтому стоит позаботиться о том, чтобы смартфон не попадал в чужие руки (особенно надолго) и установить надежную блокировку.
• Чаще всего люди устанавливают на смартфон зловредов добровольно и самостоятельно. Поэтому следите за тем, что именно вы скачиваете и в целом избегайте установки «лишних» приложений — то есть того, без чего прекрасно можно обойтись.
• Не стоит «рутовать» и «джейлбрейкать» свой смартфон (по крайней мере, если вы не пользователь *nix-систем с многолетним стажем). Права суперпользователя существенно облегчают жизнь зловредам.
• В случае Android полезно будет установить антивирус — он защитит систему от проникновения трояна.
• Если вы опасаетесь серьезных шпионских троянов, которые могут взять на вооружение метод NoReboot, периодически позволяйте смартфону «умереть своей смертью» — то есть ждите, пока его аккумулятор полностью опустеет. Так он точно перезагрузится, без всяких имитаций, и с достаточно высокой вероятностью шпион исчезнет из системы.
• При необходимости этот процесс можно ускорить с помощью какого-нибудь ресурсоемкого приложения — например, игры или бенчмарка.

08.01.2022