Hochachtung! Sie Menschenähnlicher Roboter-Tastatur-Apps mit 2 Mio. Installationen können aus jener Ferne gehackt werden

In drei Menschenähnlicher Roboter-Apps, die es zuteil werden lassen, ein Smartphone denn Remote-Tastatur und -Mouse zu verwenden, wurden mehrere ungepatchte Schwachstellen entdeckt.

Die fraglichen Apps sind Faule Mouse, PC-Tastaturund Telepad, die insgesamt extra zwei Mio. Mal aus dem Google Play Store heruntergeladen wurden. Telepad ist nicht mehr extra den App-Marktplatz zugänglich, kann allerdings von seiner Website heruntergeladen werden.

• Faule Mouse (com.ahmedaay.lazymouse2 und com.ahmedaay.lazymousepro)
• PC-Tastatur (com.beapps.pckeyboard)
• Telepad (com.pinchtools.telepad)

Während sie Apps funzen, während sie sich mit einem Server hinaus einem Desktop verbinden und die Mouse- und Tastaturereignisse dorthin transferieren, hat dasjenige Synopsys Cybersecurity Research Center (CyRC) solange bis zu sieben Fehler im Zusammenhang mit schwacher oder fehlender Authentifizierung, fehlender Autorisierung und unsicherer Kommunikation gefunden.

Von kurzer Dauer gesagt, die Probleme (von CVE-2022-45477 solange bis CVE-2022-45483) könnten von einem böswilligen Schauspieler ausgenutzt werden, um willkürliche Befehle ohne Authentifizierung auszuführen oder vertrauliche Informationen zu vereinen, während die Tastenanschläge jener Benutzer im Klartext offengelegt werden.

Dieser Lazy-Mouse-Server leidet außerdem unter einer schwachen Passwortrichtlinie und implementiert keine Ratenbegrenzung, welches es entfernten, nicht authentifizierten Angreifern ermöglicht, die PIN trivial gewaltsam zu erzwingen und betrügerische Befehle auszuführen.

Es ist erwähnenswert, dass keine jener Apps mehr denn zwei Jahre weit Updates erhalten hat, sodass Benutzer die Apps unbedingt mit sofortiger Wirkung explantieren sollen.

„Sie drei Anwendungen sind weit verbreitet, werden allerdings weder gewartet noch unterstützt, und offensichtlich war Sicherheit kein Kriterium, denn sie Anwendungen entwickelt wurden“, sagte Synopsys-Sicherheitsforscher Mohammed Alshehri.