Critical Android flaw lets attackers hijack almost any app, steal data

Left unpatched, the vulnerability could expose almost all Android users to the risk of having their personal data intercepted by attackers

Amer Owaida 

Researchers have found a critical flaw that affects nearly all devices running Android 9.0 or older, which implies that over 90% of Android users could be vulnerable. If exploited, the security hole allows hackers to hijack almost any app and steal victims’ sensitive data, according to researchers at Promon, who uncovered the vulnerability and dubbed it StrandHogg 2.0.

The good news is that malware exploiting the vulnerability has not been observed in the wild. Importantly, Google provided a patch to Android device makers in April 2020, with the fix – for Android versions 8.0, 8.1 and 9.0 – being rolled out to the public as part of the latest assortment of monthly security updates throughout this month. Promon notified Google about the vulnerability in early December 2019.

Indexed as CVE-2020-0096, the elevation of privilege flaw resides in the Android system component and can be abused through a method called reflection that allows malicious apps to impersonate legitimate applications while the victim is none the wiser. As a result, once a malicious app is downloaded and installed on a vulnerable device, an attacker could steal the victim’s access credentials, record conversations, track their movements via GPS, or access stored data such as photos or messages.

Let’s say a malicious app sneaks into your device and you click on a legit app that requires your access credentials. Instead of that app, however, the data-stealing overlay is displayed. You go on to enter your credentials and those are immediately transferred to the criminal, who now has control of this app. It isn’t just the credentials that are at risk – the app can hijack permissions that are being granted to apps, notably access to the GPS, microphone, or camera. Most apps are vulnerable to the attack by default.

Complete article on https://www.welivesecurity.com/2020/05/27/critical-android-flaw-lets-attackers-hijack-almost-any-app-steal-data/?utm_source=feedburner&utm_medium=email&utm_campaign=Feed%3A+eset%2Fblog+%28ESET+Blog%3A+We+Live+Security%29

Crooks threaten to leak customer data stolen from e‑commerce sites

A hack-and-extort campaign takes aim at poorly secured databases replete with customer information that can be exploited for further attacks 

By Amer Owaida 

A number of e-commerce websites from multiple continents have had their customer databases stolen, with an unknown seller offering at least 1.62 million rows of personal records for sale on a public website. The online stores – based in Germany, the United States, Brazil, Italy, India, Spain, and Belarus – have also received ransom notes as the cybercriminals threaten to release the data if the retailers don’t pay up within 10 days.

According to BleepingComputer – which broke the story and listed some of the hacked merchants – the loot may actually be far larger than what has been put up for sale. The siphoned information varies depending on the ransacked retailer and includes email addresses, hashed passwords, postal addresses, gender and dates of birth.

Cybercriminals can use this Personally Identifiable Information (PII) for all manner of nefarious activities, including identity theft or targeted phishing attacks. The least you as a customer can do is to change your password on the site(s) and keep an eye out for suspicious emails.

It remains unclear who the thieves are, but apparently they targeted unsecured or ill-secured servers that can be found on the public web. They copied the stores’ SQL databases and now demand a ransom of 0.06 bitcoin (some US$537 at today’s rate) within 10 days on pain of publishing or using the data as they see fit.

The attackers also offer unspecified proof, which one might assume is a sample of the data. Some of the shops may have taken them up on their word, since the hackers’ BTC wallets have recently recorded transactions amounting to 5.8 bitcoin (approximately US$52,000).

Speaking of which, paying the ransom to a cybercriminal may prove to be a leap of faith, since you have no way of knowing if they won’t sell your data onwards even if they return it. Ransomware victims may face a similar conundrum, as discussed in this article.

BleepingComputer estimates that around 31 stolen databases have been put up for sale. Based on the number of abuse reports filed against the hackers’ bitcoin addresses, the site believes it to be just a fraction of the overall number. The most recent database is from March and each listing contains a sample of the data, so that potential buyers can check the wares.

Given the wealth of personal data that they may store on their customers, e-commerce sites pose a juicy target for bad actors. Hack-and-extort campaigns, meanwhile, are by no means a novel approach and high-profile incidents have affected, for example, well-known names in the entertainment industry, including HBO in 2017. Just days ago, an entertainment law firm also fell victim to a similar attack.

GDPR wordt vandaag twee!

25 mei 2020 is de tweede verjaardag van de invoering van de General Data Protection Regulation -GDPR (Algemene Verordening Gegevensbescherming, AVG) in Europa. Het is ongetwijfeld de belangrijkste wetgeving over persoonsgegevens van de afgelopen jaren en het is ontworpen om de privacy te waarborgen van zij die binnen de EU wonen. In deze tijdspanne hebben we een aanzienlijke toename vastgesteld van het bewustzijn rond privacy en bescherming van gegevens, waarbij wereldwijd aanvullende regelgeving wordt toegepast. Bedreigingen tegen privacy zijn nog nooit zo groot geweest, met voortdurende inspanningen van cybercriminelen die de waarde van gegevens als valuta in het brandpunt stellen - en het belang om kort op de bal te spelen als het gaat om beveiliging van persoonlijke informatie.

Dat GDPR geen wondermiddel is voor alle problemen met gegevensprivacy is ook duidelijk geworden in de afgelopen twee jaar. Sinds mei 2018 werden enorme boetes uitgeschreven voor bedrijven die consequent de gegevens van hun klanten niet beschermen, waarbij een voorgestelde boete van £ 189 miljoen (+/- € 230 miljoen) wegens een datalek bij British Airways in 2018. Hoewel deze boetes organisaties kunnen helpen om meer verantwoordelijkheid aan de dag te leggen over hoe ze de informatie van klanten opslaan, is er nog een lange weg te gaan om volledige gegevensprivacy te garanderen.

Waar staat GDPR?

GDPR, hoewel misschien een van de eerste, is niet de enige gegevensbeschermingswet die wereldwijd wordt toegepast. De Consumer Privacy Act (CCPA) in California, in juni 2018 ondertekend, bevat veel bepalingen die vergelijkbaar zijn met die van de GDPR. Hoewel de geografische reikwijdte van deze wet beperkt kan lijken, beïnvloedt ze in werkelijkheid elke staat die zaken doet in de EU of de Golden State.

De Braziliaanse Lei Geral de Proteção de Dados (LGPD), die in augustus 2020 van kracht zou moeten zijn, geeft, onder andere, burgers het recht geeft om de verwijdering aan te vragen van gegevens over hen. Daar Brazilië een van de grootste economieën van Zuid-Amerika is, zal deze wetgeving dus een voelbaar effect hebben op de wereld. De LGPD creëert een reeks nieuwe juridische concepten en genereert specifieke verplichtingen voor gegevensbeheerders, waardoor ze meer verantwoordelijkheid dragen in de ogen van de wet.

De Japanse Act on the Protection of Personal Information – APPI (wet op de bescherming van persoonlijke informatie) werd in 2003 ingevoerd, en  kreeg in mei 2017 belangrijke herzieningen. Deze omvatten de uitbreiding van de toepassing van de wet, waarbij zelfs buitenlandse bedrijven zijn betrokken als ze gegevens over Japanse burgers hebben, wat betekent dat deze wet verder gaat dan vele andere.

De toekomst van GDPR

De afgelopen maanden kende de gegevensprivacy een nog grotere uitdaging. In het licht van de lockdown door het coronavirus werden gegevens, die voorheen privé zouden gebleven zijn - zoals medische informatie, op minder dan ideale manieren gedeeld. Apps om de verspreiding van COVID-19 op te volgen, zijn ontworpen om individuen te traceren, waarschuwen als gebruikers mogelijk in contact kwamen met zij die door het virus geïnfecteerd zijn. Hoe kunnen voorschriften voor gegevensbescherming voor meer tracking zorgen?

Toen men in Q1 2020 begon met lockdown-maatregelen, legde het Europees Comité voor gegevensbescherming (European Data Protection Board - EDPB) een verklaring af (statement) waarin wordt verduidelijkt dat de GDPR de volksgezondheidsautoriteiten toestaat persoonlijke informatie te verwerken zonder individuele toestemming en dit om de volksgezondheid te beschermen. Wat het gebruik van locatiegegevens betreft, werd in de verklaring verder verduidelijkt dat overheidsinstanties zich aan de e-privacyrichtlijn moeten houden. Artikel 15 van de richtlijn biedt de mogelijkheid voor de EU-lidstaten om wetgevende maatregelen in te voeren die het gebruik van locatiegegevens mogelijk maken. Deze gegevens dienen echter wel zoveel mogelijk op een anonieme wijze verwerkt te worden.

Laatste bedenkingen

Een van de belangrijkste effecten van GDPR is dat het op wereldvlak gesprekken over  gegevensbescherming heeft veroorzaakt. Door de privacy van onze gegevens centraal te stellen, heeft de GDPR benadrukt hoe belangrijk het is om controle te hebben over de wijze waarop persoonlijke informatie opgeslagen en gedeeld wordt. Wie weet wat de komende twee of tien jaar kunnen betekenen voor de wetgeving inzake gegevensbescherming, of hoe technologie de wereld verder zal blijven veranderen? Een ding staat vast: gegevensprivacy zal niet snel van de wereldwijde radar verdwijnen.

Social Posts:

·       Happy birthday to GDPR! Today, it’s two years since the first-ever piece of legislation on data protection was implemented. #TwoYearsofGDPR