Приватні програми, розміщені в галереї Fitbit, не скануються на наявність шкідливого коду
Fitbit Gallery — це єдиний магазин для схвалених програм Fitbit, таких як Spotify або Starbucks Card. І хоча Fitbit вручну сканує всі опубліковані програми Галереї на наявність зловмисного програмного забезпечення, «приватні» програми, які можна спільно використовувати, не піддаються такому ж впливу. Якщо хтось надсилає вам електронною поштою посилання для завантаження програми Fitbit, проігноруйте це!
Fitbit дозволяє розробникам завантажувати «приватні» програми в Галерею, щоб допомогти в тестуванні. На жаль, будь-хто, хто має посилання для завантаження, може встановити приватну програму. Погані актори можуть поділитися приватним посиланням для завантаження, щоб поширювати зловмисне програмне забезпечення, яке збирає дані, загрозу, визначену Кевіном Бріном і оприлюднену BleepingComputer.
Кевін Брін, директор із дослідження загроз Immersive Labs, успішно завантажив шкідливий приватний додаток до Галереї та використав його для викрадення даних про місцезнаходження GPS, пульсу, зросту та віку з тестових пристроїв. На Android шкідливий додаток міг також читати будь-які календарі, підключені до Fitbit. Брін навіть міг налаштувати додаток для сканування та доступу до мережевих інструментів, таких як маршрутизатори та брандмауери, завдяки Fitbit Fetch API.
На щастя, Кевін Брін подав своє дослідження компанії Fitbit, яка відповіла, додавши попередження про завантаження приватних додатків. Fitbit також планує відмовитися від дозволів приватних додатків за замовчуванням, надаючи користувачам можливість вручну надати доступ до свого віку, контактів та іншої інформації. Як завжди, Fitbit сканує програми Галереї на наявність шкідливого коду, перш ніж їх публікувати на загальнодоступній сторінці Галереї.
Джерело: Кевін Брін через BleepingComputer