IT業界社群及資訊平台

【搶先試】Fitbit Gallery先天缺陷 未經審批app可經官網下載

多得網絡安全研究人員的努力,經常對網站及應用服務的潛在漏洞保持好奇心,才可減少用家的損失,好像智能運動產品Fitbit的應用程式市場Fitbit Gallery,竟可讓有心人將惡意app上載,在未獲審批前以官方連結分享出來,用家好易中招。

上年Google宣布收購 Fitbit 大計,令品牌大受市場關注,不過礙於反壟斷法關係,交易暫時仍在美國、歐洲及澳洲等地審核中。Fitbit 的智能連動手錶由於設計精美,上班運動兩相宜,所以在港也有不少捧場客。今次 Immersive Labs 的 Cyber Threat Research 總監 Kev Breen,就對 Fitbit Gallery 的運作感到興趣,深入調查有關第三方 app 開發者在上載新 app 後,如果 app 內藏惡意程式,是否能避過偵測上架。

Kev 首先開發了一款手錶屏幕管理 app,它可以通過 Fitbit 的 API ,暗中讀取已配對手機的產品型號及作業系統版本、用家的個人資料及實時位置,以及手機日程表的行程,再上載至 C&C 控制中心。不過由於道德理由,Kev 今次未有啟動上傳功能,純粹測試是否能順利上載。

萬事俱備,當 Kev 將 app 上載至 Fitbit Gallery,很快便獲得一條「https://gallery.fitbit.com/details/*****」連結,問題就出現了,因為 Kev 發現雖然這隻 app 並未通過審批上架,但只要擁有這條連結,用家一樣可以經手機內的 Fitbit app 下載及安裝,而且因為在官方 app 內打開,所以全部畫面都會自動調校至最理想顯示效果,當用家見到連結及 app 介紹全部有官方認證,便會誤以為 app 屬於安全及可以安裝,造成不必要的損失。

Kev 將漏洞通知 Fitbit 後,對方現時已進行了一些修補,例如如彈出聲明,呼籲用家不用從私人連結下載 app、讓用家知道該 app 是否已通過審查,及在安裝畫面預設為退出。不過,Kev 發現的問題始終未有解決,只要網絡罪犯經即時通訊平台或討論區分享有問題的連結,Fitbit 用家仍可下載,現階段用家惟有自己安全自己守。

資料來源:https://bit.ly/3dr55wL