Хроники хардеринга системы андроид: поиск конфигурации, устойчивой к целевой атаке

Данный материал является прямым дополнением к основной статье:
«Хроники хардеринга системы: поиск конфигурации, устойчивой к целевой атаке».
Здесь описывается опыт с мобильными устройствами под управлением Android, который подтверждает и расширяет выводы, сделанные для десктопных систем.

1. Вводная часть: Android как цель целевой атаки

1.1 Контекст

Атакующая сторона — та же, что и в основной статье: предположительно группа с опытом целевых атак не менее 20 лет, владеющая как технологическими, так и социотехническими методами.

Настоящий раздел фиксирует случай с мобильным устройством, который произошёл до начала систематического хардеринга десктопной системы. Тем не менее, характер взлома и полученный злоумышленником уровень доступа полностью соответствуют модели атаки, описанной в основном документе.

1.2 Роль мобильных устройств в атаке

Из анализа следует, что скомпрометированный Android-смартфон (планшет) может использоваться атакующим как:

• средство постоянного аудио- и видеонаблюдения;
• канал утечки трафика (включая зашифрованные данные до их отправки);
• точка сбора данных с аккаунтов Google и других сервисов.

При этом стандартная заводская конфигурация Android (даже с актуальными обновлениями безопасности) не обеспечивает устойчивости к целевому противнику.

2. Описание Устройство 1 (смартфон)

2.1. Описание устройства 1 (исходная конфигурация)

2.1.1 Характеристики устройства

2.1.2. Программное окружение и сетевые настройки

• Защитное ПО: отсутствовало.
• Источники установки приложений: только официальный Google Play.
• Аккаунт Google: подключён.
• SIM-карта: установлена.
• Доступ в интернет: мобильная сеть + Wi-Fi (роутер под контролем пользователя).

2.1.3. Действия пользователя

Устройство использовалось как основной смартфон без каких-либо дополнительных мер безопасности (блокировка загрузчика, кастомное ПЗУ, фаервол, контроль разрешений на уровне системы и т.п.).

2.2. Обнаруженный взлом

2.2.1. Дата обнаружения

Апрель 2020 (примерно через 12 месяцев после начала использования).

2.2.2. Возможности, полученные злоумышленником

В результате удалённого доступа (без физического контакта с устройством) атакующий получил следующие возможности:

• Аудио-шпионаж
  • Прослушивание всех телефонных разговоров в реальном времени.
  • Постоянная активация микрофона в фоновом режиме, даже когда нет активного вызова или системное приложение телефона не запущено.
  • Запись звуковой обстановки рядом со смартфоном в любое время.
• Видео-шпионаж
  Полный удалённый доступ к фронтальной и основной камере — возможность просматривать видеопоток с любой камеры в произвольный момент.
• Перехват сетевого трафика
  Полная возможность читать весь интернет-трафик устройства (включая трафик приложений, работающих через HTTPS, до его шифрования на уровне приложения или после расшифровки).

2.2.3. Комментарий

Реализованный уровень доступа свидетельствует об эксплуатации одной или нескольких уязвимостей нулевого дня в ядре (3.18.31-perf), прошивке модуля связи или компонентах Android 7.1.1, не закрытых обновлениями безопасности. Полученный контроль эквивалентен полноценному удалённому руткиту.

2.3. Статус и ограничения дальнейшего исследования

Таким образом, точный метод проникновения и использованные уязвимости остались неидентифицированными. Однако сам факт получения столь широких возможностей при отсутствии каких-либо защитных мер полностью подтверждает тезис основной статьи:

Стандартная (заводская) конфигурация любого устройства, будь то десктопный Linux или Android, не является устойчивой к целевой атаке профессиональной группы.

3. Устройство 2 (планшет)

3.1. Описание устройства 2 (планшет)

3.1.1. Характеристики устройства

3.1.2. Исходное состояние и обнаружение атаки

На момент приобретения планшет находился в новой конфигурации, получал обновления безопасности (последнее — ноябрь 2019 года). Средства защиты (фаерволы, антивирусы, контроль разрешений) установлены не были.

Атака хакера обнаружена в апреле 2020 года — одновременно со взломом смартфона ZTE Blade A522.

3.1.3. Принятые меры защиты (текущая конфигурация)

(В 2021-2024 устройство не использовалось, было постоянно отключено с периодической подзарядкой аккумулятора да 90%. Изучение проблемы хакинга устройства начато в марте 2025.)

• NetGuard — межсетевой экран уровня приложений (без root).
• Постоянная VPN для NetGuard — включена (локальный VPN-сервис для фильтрации трафика).
• Блокировать соединения без VPN — отключено.
  • При включении данного параметра интернет-соединение полностью отсутствовало, в том числе у разрешённых в NetGuard приложений.
• Разрешения сетевого доступа:
  • Всем системным приложениям, отображаемым в NetGuard, выход в интернет запрещён (заблокировано 190 приложений).
  • Разрешены только 6 приложений:
    • VpnDialogs (необходим для работы NetGuard)
    • Aurora Store (альтернативный клиент Google Play)
    • F-Droid (репозиторий свободного ПО)
    • LibreTube (клиент для просмотра видео)
    • Via (быстрый браузер)
    • Shelter (изоляция приложений — отключён, включается редко)
• Google Аккаунт: не добавлен (предыдущий аккаунт удалён).
• SIM-карта: установлена, однако пакет услуг оператора не подключен. Планшет использует только Wi-Fi.
• Сетевое окружение: устройство не покидает пределов дома (радиус действия Wi-Fi роутера), подключение только через доверенную домашнюю сеть.

3.2. Текущие возможности атакующего (при конфигурации с NetGuard)

Несмотря на применённые меры, хакер сохраняет следующие возможности:

• Чтение текстовых файлов, созданных и сохранённых в редакторе QuickEdit.
• Чтение диалогов с ИИ (ChatGPT, DeepSeek) в авторизованной веб-версии интерфейса в браузере Fennec.
• Чтение сообщений в чатах приложения Lumia.

3.3. Изменения после установки NetGuard

• До установки NetGuard атакующий имел возможность удалённого подключения к микрофону и камере.
• После установки NetGuard данные, указывающие на подключение к камере или микрофону, отсутствуют.

Предположительно, NetGuard заблокировал сетевые порты или сервисы, используемые для захвата мультимедийных потоков, однако уязвимости, позволяющие читать файлы и перехватывать текст чатов, остались не перекрытыми.

3.4. Статус исследования и приоритеты

Продолжается наблюдение за активностью хакера в отношении планшета. При получении новых данных конфигурация будет пересмотрена, а меры защиты усилены.

Последнее обновление данных: 23 апреля 2026 г.

Связанные страницы: