Специалисты компании Nitrokey (аппаратные решения в сфере информационной безопасности) выявили в однокристальных системах Qualcomm недокументированный функционал. Модуль позволяет автономно, без участия операционной системы, отправлять данные на сервер компании.
Для проверки исследователи использовали устройство с модифицированной версией Android – без приложений Google с закрытым кодом. Это позволило исключить передачу данных сервисами Google. Однако анализ трафика показал передачу данных, включая личную информацию о пользователе.
Для тестов использовался смартфон Xperia XA2, который комплектуется чипом Qualcomm Snapdragon 630. SIM-карта не устанавливалась, использовался только Wi-Fi, контроль обмена трафиком осуществлялся при помощи утилиты Wireshark.
Кроме прочего, были зафиксированы запросы к серверам izatcloud.net, которые принадлежат Qualcomm. Анализ программного кода Android не выявил упоминаний данного домена, что позволяет исключить активность со стороны Android.
В настоящее время порядка 30% мобильных устройств используют чипы от компании Qualcomm. Причем, среди них есть и IPhone – в них, в частности, устанавливаются модемы данного бренда. Не исключено, что проблема может присутствовать во многих чипсетах.
Специалисты также выяснили, что данные отправляются по незащищенному каналу (система использует протокол HTTP), поэтому доступ к ним легко могут получить посторонние. Представители Qualcomm предоставили официальный ответ по данной ситуации. В нем отмечается, что обмен данными не противоречит политике XTRA Service Privacy Policy, в рамках которой компания может аккумулировать информацию о мобильных устройствах. В эту категорию входят идентификатор смартфона, информация о чипсете, код мобильной сети, версия ПО XTRA, версия ОС, модель устройства, IP-адрес, список установленных приложений и другие данные.
Дальнейший анализ позволил экспертам прийти к выводу, что используемая в чипах прошивка AMSS имеет более высокий приоритет, по сравнению с основной ОС. При этом собранные данные позволяют сформировать уникальную сигнатуру устройства, которая может использоваться злоумышленниками. Также не исключено, что Qualcomm может передавать информацию спецслужбам.
В публикации также отмечается, что рядовым пользователям самостоятельно защититься от утечки данных практически невозможно – штатные защитные программы или настройки бессильны.