Опасные «звонилки»

Некоторое время назад был опубликован подробный обзор безопасности пяти простейших мобильных телефонов, продающихся в рознице по цене от 600 до 1500 рублей. Их еще часто называют «звонилками» или «бабушкофонами» — потому что часто такие аппараты покупают для пожилых родственников, которые не хотят или не могут осваивать новую технику с сенсорным экраном. Также подобные телефоны используются как запасной мобильник «на всякий случай», а кто-то, возможно, считает, что такое устройство безопаснее, чем полноценный компьютер, которым является любой современный смартфон на базе Android.

Собственно, последний аргумент в обзоре и опровергается: как выяснилось, из пяти исследованных телефонов четыре содержат скрытую функциональность. Два телефона передают данные при первом включении, сообщая кому-то персональную информацию покупателя телефона. Еще два аппарата не только «сообщают кому надо», но и могут по-тихому подписывать абонента на платный контент, общаясь через Интернет с командным сервером организаторов данной схемы.

Зараженные «бабушкофоны»

Автор исследования дает очень интересную информацию о методике анализа прошивок таких простых устройств. Эти технические вводные могут быть интересны тем, кто пожелает повторить исследование самостоятельно. Мы не будем на этом подробно останавливаться, а поговорим о результатах анализа.

Итак, два из пяти исследованных телефонов при первом включении отправляют куда-то информацию о пользователе. Непонятно, кому именно передаются данные — производителю, дистрибьютеру, разработчику прошивки или еще кому-то. Для чего именно это используется, тоже не очень-то ясно. Но можно предположить, что такие данные могут оказаться полезными, например, для отслеживания продаж и контроля над распространением партий устройств в разных странах. Звучит не очень опасно, плюс можно привести аргумент, что абсолютно все смартфоны тоже отправляют какую-то телеметрию.

Однако стоит помнить о том, что крупные производители смартфонов стараются анонимизировать собираемые данные, и обычно более-менее понятно, куда они передаются. Здесь же неизвестно кто получает достаточно чувствительную информацию владельца аппарата без его ведома. Один из исследованных кнопочных телефонов передает серийный номер телефона, данные о стране активации, информацию о прошивке, используемом языке, а также идентификатор базовой станции, по которому можно установить примерное местоположение покупателя устройства.

Более того, сервер, собирающий эти данные, никак не защищен, так что информация, по сути, доступна любому желающему. В этом примере есть еще один интересный нюанс: данные передаются через Интернет, в то время как пользователь может даже не знать, что устройство способно подключаться к Сети. Так что, помимо прочего, это может привести к ненужным тратам на мобильный трафик — который к тому же может стоить дороже обычного, ведь вряд ли кто-то станет подключать «бабушкофон» к тарифу с пакетом дешевого трафика.

А вот другой кнопочный телефон помимо передачи пользовательских данных может еще и напрямую красть средства со счета своего владельца. Анализ прошивки показал, что он связывается по Интернету с командным сервером и может выполнять поступающие с него инструкции. Например, отправлять SMS на платный номер и блокировать сообщения о списании средств.

У следующей исследованной модели вредоносная функциональность еще шире. Здесь автор обзора цитирует рассказ пользователя такого телефона: используя его номер, совершенно посторонний человек зарегистрировался в Telegram. Как это могло произойти? Регистрация почти в любом мессенджере предполагает ввод телефонного номера, на который приходит SMS с кодом подтверждения. Судя по всему, телефон перехватывает данное сообщение, отправляет код подтверждения «куда надо» и скрывает всю эту деятельность от владельца. В отличие от просто непредвиденных расходов, такой сценарий грозит реальными проблемами с законом, если зарегистрированная на номер ничего не подозревающего абонента учетная запись будет использоваться в криминальных целях.

Что делать, если кнопочные телефоны не безопасны?

Отличие современных дешевых устройств от бюджетных аппаратов десятилетней давности заключается в том, что даже в самой копеечной схеме теперь можно реализовать доступ к Интернету. Даже если телефон в остальном чист, один этот момент может стать неприятным открытием: купили специально, чтобы мобильник не выходил в Сеть, а он все равно выходит.

Ранее тот же исследователь разбирал прошивку другого кнопочного телефона. Вредоносной функциональности в нем не обнаружилось, зато нашлось меню подписок на гороскопы и демо игр, которые можно разблокировать в полные версии через платные SMS. То есть денег на счете можно лишиться случайно, но вполне законно, когда на телефоне, который был специально куплен как вариант «без Интернета и приложений», ваш пожилой родственник или ребенок нажмет в меню не туда, куда надо. Это еще один пример того, что самый бюджетный телефон может нести в себе возможности, которых от него не ожидают.

Особенность истории с «зараженными» мобильниками заключается в том, что «лишние фичи» часто добавляются производителем или дилером еще в Китае, так что дистрибьютер в стране приобретения телефона может вообще не подозревать о проблеме. Дополнительно осложняет дело тот факт, что кнопочные телефоны продаются мелкими партиями, их моделей огромное количество, и трудно отличить нормальный мобильник от «подпорченного» — разве что самостоятельно разбирать и анализировать прошивку. Но позволить себе качественный контроль прошивок, очевидно, могут далеко не все дистрибьютеры.

В связи с этим возникает вопрос: а не проще ли все же купить Android-смартфон? Конечно, тут дело зависит от бюджета — к сожалению, самые дешевые смартфоны могут иметь похожие вредоносные привычки. Но если деньги позволяют купить аппарат, хотя бы и простой, но от известного производителя, то это может быть более разумным шагом. Тем более, если вы выбираете кнопочный телефон не из-за цены, а чтобы было «просто, надежно, без скрытой функциональности». Потому что потенциальные проблемы кнопочного устройства контролировать крайне нелегко. А вот риски Android контролировать можно, надежный антивирус с этим справится.

Что касается пожилых родственников, у автора этой статьи есть личный опыт телефонизации старшего поколения. Иногда это и правда может даваться нелегко: если человек в возрасте привык отвечать на звонок, открывая телефон-раскладушку, переучить его на работу с сенсорным экраном не факт что получится. Но попробовать стоит — ведь есть и позитивные примеры, когда родственник относительно легко «пересаживался» на смартфон, осваивая мессенджеры и видеозвонки. И еще потом благодарил за то, что ему открылся совершенно новый мир, о котором он раньше не имел никакого понятия.