Sårbarhet upptäckt i Xiaomis mobiler

Check Point Research (CPR) har upptäckt sårbarheter i Xiaomis mobila betalningsfunktion. Om den lämnats ouppdaterad hade en hackare kunnat stjäla privata inloggningsuppgifter som används till Wechat Pays kontroll- och betalningspaket, vilket i värsta fall hade kunnat leda till att falska betalningar hade kunnat genomföras.

Check Point Research (CPR) har upptäckt en sårbarhet i Xiaomis mobiler som kunnat utnyttjas för att genomföra falska betalningar från den angripna enheten. Sårbarheten hittades i Xiaomis Trusted Environment, som används för lagring och hantering av känslig information såsom säkerhetsnycklar och lösenord.

CPR upptäckte två olika sätt att hacka den säkra koden:

• Via en oprivilegierad Android-applikation: Användaren installerar själv en oprivilegierad applikation och startar den. Appen extraherar då sparade nycklar och skickar en falsk betalning i syfte att stjäla pengar.
• Om hackaren fysiskt har den utsatta enheten till hands: Hackaren kopplar då upp sig på enheten, nedgraderar sedan säkerhetsmiljön på enheten och kan därefter köra koden för att skapa en falsk betalning.

Check Point Research tog kontakt med Xiaomi för att på ett säkert sätt visa den upptäckta sårbarheten. Xiaomi erkände sårbarheten och har sedan dess vidtagit åtgärder för att lösa problemet.

– Vi upptäckte en uppsättning sårbarheter som gjorde det möjligt att förfalska betalningar direkt från en oprivilegierad Android-applikation, säger Slava Makkaveev, säkerhetsforskare hos Check Point Software Technologies. Vi kunde hacka oss in i WeChat Pay där vi implementerade ett fullt fungerande proof of concept. Vår studie är första gången Xiaomis betrodda applikationer granskas för säkerhetsproblem. Vi avslöjade omedelbart våra resultat för Xiaomi som snabbt arbetade fram en lösning. Vårt budskap till allmänheten är att ständigt se till att era telefoner är uppdaterade med den senaste versionen från tillverkaren.

För mer information, se Check Point Softwares blogg: https://blog.checkpoint.com/2022/08/12/vulnerabilities-on-xiaomis-mobile-payment-mechanism/