Експерт з інформаційної безпеки підрозділу Threat Intelligence компанії Microsoft Дімітріос Валсамарас виявив вразливість у додатках, які за умовчанням встановлені на смартфонах Xiaomi, Redmi та Poco, а також доступні в Play Маркеті пристроям будь-яких інших брендів. “Дірка” отримала умовну назву Dirty Stream (“Потік бруду”), вона дозволяє зловмиснику замінювати системні файли будь-якими іншими.
Проблема полягає в тому, що розробники з Xiaomi не впровадили додаток стандартний для Android інструмент перевірки безпеки вхідних файлів. Через це хакер може віддалено направити на пристрій будь-який файл і замінити системні дані без відома користувача. Шкідливий код може використовуватися з різними цілями — наприклад, для крадіжки фотографій та відео з галереї, перехоплення логінів та паролів від сайтів та додатків (включаючи банківські), перехоплення SMS-повідомлень, організації бот-ферм та спам-розсилок, оформлення платних підписок та багато іншого іншого.
Вразливі програми:
- File Manager (com.xiaomi.fileexplorer)
- Gallery (com.miui.gallery
- GetApps (com.xiaomi.mipicks
- Mi Video (com.miui.videoplayer)
- MIUI Bluetooth (com.xiaomi.bluetooth )
- Phone Services (com.android.phone
- Print Spooler (com.android.printspooler
- Security (com.miui.securitycenter
- Security Core Component (com.miui.securitycore
- Settings (com.android.settings
- ShareMe (com.xiaomi.midrop
- System Tracing (com.android.traceur
- Xiaomi Cloud (com.miui.cloudservice)
Ці програми встановлені на всіх смартфонах, випущених компанією Xiaomi, а, наприклад, File Manager був завантажений з Play Маркета» більше мільярда разів. Аналогічна вразливість також виявлена у програмі WPS Office більш ніж півмільярда установок з офіційного магазину Google. Експерти побоюються, що вона є і в інших популярних програмах, користувачі яких навіть підозрюють, що їхні смартфони схильні до хакерських атак.
