Onderzoekers gebruiken Google Now voor bellen dure betaalnummers

Onderzoekers hebben een onderdeel van Google Now, Google Voice Search, misbruikt om de telefoon zonder toestemming van de gebruiker dure betaalnummers te laten bellen of sms-diensten te laten gebruiken. Dankzij de truc heeft de malware-app geen permissies nodig.

Omdat de app geen permissies nodig heeft, zouden zelfs bij gevorderde gebruikers geen alarmbellen gaan rinkelen bij installatie van de app. Na installatie kan de app, zelfs als de telefoon niet actief is en beveiliging heeft, Google Voice Search oproepen via een 'intent'. Via een audiobestand kan er vervolgens een commando uitgesproken worden waarmee premium telefoonnummers te bellen zijn of privé-gegevens achterhaald kunnen worden, melden de onderzoekers van de Amerikaanse universiteit Cornell. Zij noemen het de 'GVS-hack', naar Google Voice Search.

Dankzij de truc, die de onderzoekers hebben getest op een Samsung Galaxy S3, een Meizu-smartphone en een Motorola-toestel, is naar eigen zeggen waarschijnlijk op alle Android-smartphones met Google-apps toegang te krijgen tot veel privé-gegevens. Er zitten wel de nodige haken en ogen aan: om de truc te laten werken, moet de app een audiobestand hoorbaar afspelen.

De onderzoekers hebben op verschillende manieren geprobeerd daaromheen te werken, maar dat gaat niet: zo accepteert Google Voice Search, sinds Android 4.1 onderdeel van Google Now, geen audio met hoge frequenties die mensen niet kunnen horen. Ook het manipuleren van de data achteraf werkt niet; de verbinding tussen Voice Search en Google-servers is beveiligd met tls.

De implicaties van de ontdekking zijn klein: eventuele malware die van deze truc gebruikmaakt moet het audiobestand laten horen, waardoor gebruikers het kunnen ontdekken. De onderzoekers sluiten niet uit dat VoicEmployer, zoals ze de app noemen, ook in gewijzigde vorm zou kunnen werken op iOS of Windows Phone.

Reacties (69)

[MrFax]

"Zelfs niet door gevorderden" Een gemiddeld gevorderde zet "Google voice typing" uit... Waarbij ook Google Voice Search uitgaat.

Edit: Instellingen->Taal en invoer->Google Spraakgestuurd typen. Even vinkje wegdrukken en klaar.
(Op Android 4.4 atleast).

Om heel Google Search uit te zetten: Settings->Apps->All Apps->Google Search->Force stop & Disable.

Als je Cyanogenmod 11 hebt, kan je Google Search zelfs compleet verwijderen en staat hij er standaard niet eens in .

[Reactie gewijzigd door MrFax op 25 juli 2024 05:05]

[leploep]

Thanks! Toch beetje belachelijk dat ik deze info pas onderaan de comment-sectie aantref.

Dit soort informatie hoort in het nieuwsbericht van tweakers zelf.

[Zezura]

Nogsteeds is dit een beveiligingslek,
Feit dat het door de luidspreker komt wil niet zeggen dat de gebruiker het zal horen als deze in de broekzak zit, of in de tas.. Of zelfs snachts als je slaapt,

Vreemd dat Google wel gedacht heeft aan hoge frequenties maar niet aan luidspreker met voice Search..

Waarom niet zolang je een voice Search doet dat je dan op een screenbutten moet drukken. Die niet te manipuleren valt door Apps maar alleen door de gebruiker. Of in het geval van voice activation dat je dan gezichtsherkenning moet zijn...

Zijn allemaal simpele oplossingen.
Zonde dat android continue van dit soort problemen heeft.

In mijn mening is stock android te open. Ook kwa permissies voor Apps. En manipulatie van os.

[Reactie gewijzigd door Zezura op 25 juli 2024 05:05]

[Tjolk]

In principe heb je gelijk, het is een lek. En het zal vast ook wel verholpen worden.

Echter: de gebruiker moet eerst een niet-geverifieerde app installeren en vervolgens zijn telefoon buiten gehoorbereik hebben liggen op het moment dat deze app in werking treedt.. En dan moet het audio bestand ook nog eens matchen mte de voice-training op het apparaat.

Zéér kleine kans dus. Wat niet wegneemt dat het een bug is welke erkend en opgelost zal worden (bijv. door GVS niet te laten werken als de speakers werken).

Om nu te zeggen dat android continu zulke problemen heeft is ook weer zo goedkoop en gemakkelijk. Alle besturingsystemen hebben constant van zulke (kleine) bugs, van android tot WP en iOS, en van linux tot Windows 8.1.

[HenkEisDS]

Goed punt, als het alleen werkt als de speakers niet aanstaan lijkt het mij op het eerste gezicht veilig genoeg. Je mist dan wel weer features die achtergrondruis onderdrukken.

[telenut]

Ok google, play next song zal dan ook niet meer werken...

[Floor]

Ik denk dat het vrij simpel te op te lossen is. Kijken naar de audio output van de speakers en dit patroon filtereren uit de input.

[curumir]

En dan meteen even een 3x zo grote batterij? Google Now staat zover ik weet altijd aan, je bent dus 24/7 aan het luisteren & filteren.

[thedicemaster]

misschien is het een betere optie om bij het horen van "ok Google" of handmatig triggeren van Google voice recognition geluid tijdelijk uit te zetten.
het "lek" werkt dan alleen nog als je 2 apparaten naast elkaar aan hebt staan.

alle voice-recognition systemen zouden dit eigenlijk moeten doen.
geen self-triggered acties meer, en wat minder luister-fouten.

[onok]

idd, lijkt me sowieso een handig iets om te doen: blijft de voice control gewoon werken als je muziek o.i.d aan hebt staan.

[daellat]

Zeker is dit gevaarlijk, mij stelt het gelukkig gerust dat ik mijn telefoon op mijn nacht kastje oplaad naast mijn bed en 24/7 bij me heb. het zou mij heel erg opvallen.

Ten tweede moet er dus ook nog eens een onbekende of kwaadwillende app geinstalleerd worden, dus ook hier weer geldt, dat zolang je het bij de bekendere apps houdt (whatsapp, facebook, 9292, etc), je niet snel last zult hebben.

Verder ben ik het volledig met je eens dat ze iets met die permissies moeten doen in de trant van iOS (zover ik weet) waar de gebruiker zelf, per app, permissies kan toekennen.
En dit lek specifiek moet uiteraard in google now zelf gedicht worden.

[Verwijderd]

In iOS kun je enkel Microphone en GPS-toegang aan of uitzetten per app. Apps kunnen alleen geen custom audio-files zomaar triggeren als het ding locked op de kast ligt, dus dat gebeurt sowieso niet.

Als jij ligt te pitten en je telefoon speelt een voiceclip af van 10dB(A), dan word jij hier hoogst waarschijnlijk niet wakker van. Je telefoon kan dit wel duidelijk horen, aangezien speaker/mic een paar mm/cm van elkaar afliggen.

[daellat]

Geloof me, ik hoor alles (slechte slaper, ik zei ook "persoonlijk" ) bijv. het electrische gekraak van een usb oplader lig ik al wakker van. de meeste mensen moeten het ding tegen door oor leggen en dan horen ze hem nog nauwelijks.

Maar dat zal inderdaad aan de meesten voorbij gaan, al helemaal als hij niet zo dichtbij je ligt zoals die van mij.

[O88088]

...

Waarom niet zolang je een voice Search doet dat je dan op een screenbutten moet drukken. Die niet te manipuleren valt door Apps maar alleen door de gebruiker. Of in het geval van voice activation dat je dan gezichtsherkenning moet zijn...

...

Omdat dat het punt van spraakherkenning grotendeels verslaat. Als je fysiek in de buurt van je telefoon moet zijn om een knop in te drukken of om je gezicht te laten zien kun je ook typen. Hands-free in de auto smsen kan dan niet.

[JAVE]

Volgens mij mag je een mobiel niet vasthouden. Er staat niets over aanraken?
Maar afgezien daarvan: Welke randdebiel gaat er aan zijn telefoon zitten om te smsen als je autorijdt?

[O88088]

Aanraken hoeft dus niet als je dingen met je stem kunt doen. Daarom is het onlogisch om een knop in te moeten drukken om spraak commando's te kunnen gebruiken.

Je kunt bijvoorbeeld de opdracht geven om te smsen dat je er bijna bent of dat je vertraging hebt.

[JAVE]

Als het zo belangrijk is, dan zorg je dat je op tijd weggaat, zodat vertraging niet uitmaakt.
Als je moet melden dat je er bijna bent, dan kan je ook 5 minuten wachten en dan ben je er.

Je bent bezig met het besturen van een dodelijk wapen.
Waarom voel je dan de behoefte om wat anders te doen?

Natuurlijk, iedereen die hier op antwoordt kan wel autorijden en wat anders tegelijk, maar zoals Benne ook al meldt: De rest van de wereld lukt het niet...

[Verwijderd]

Dodelijk wapen? Een auto is geen wapen maar een voertuig.
Wat is er nou precies gevaarlijk om tegen je telefoon te praten terwijl je rijdt? Als je niet kan praten en rijden tegelijk kun je maar beter niet meer een voertuig besturen.

[Benne]

Helaas zie ik het vaak genoeg gebeuren.Maar goed het kan ook whatsapp,FB, Twitter,... zijn. Uiteindelijk komt het op hetzelfde neer , ze zigzaggen over de weg en ik mag weer zo snel mogelijk afstand zien te houden van zulke idioten.

[spNk]

Misschien was autorijden een slecht voorbeeld van hem.
Maar er zijn natuurlijk genoeg dingen te bedenken waarbij je je handen vol hebt, maar toch graag iets op je telefoon wil doen (heel simpel, veilig, onzinnig voorbeeld: een shaggie draaien), of gewoon omdat het kan.

[JAVE]

Nouja, het kan dus niet :-)

Maar goed, sommige mensen vinden hun mobieltje belangrijk genoeg om elk gezond verstand te laten varen...

Dit heeft verder niets meer met de 'exploit' te maken, dus ik hou maar op...

[Verwijderd]

Er zijn er genoeg die het doen... Helaas ken ik er een paar...

[sspiff]

Vreemd dat Google wel gedacht heeft aan hoge frequenties maar niet aan luidspreker met voice Search..

Vermoedelijk heeft Google daar niet echt aan gedacht, maar wordt voor de audio naar Google's voice recognition service gestuurd wordt, het geluid gecomprimeerd.

De meeste audio compressie methodes filteren onhoorbare frequencies weg (of in het geval van voice-only codecs, frequencies die niet door een stem bereikt kunnen worden).

[Verwijderd]

Omdat de app geen permissies nodig heeft, zouden zelfs bij gevorderde gebruikers geen alarmbellen gaan rinkelen bij installatie van de app.

vs

De implicaties van de ontdekking zijn klein: eventuele malware die van deze truc gebruikmaakt moet het audiobestand laten horen, waardoor gebruikers het kunnen ontdekken.

Lekkere opbouw van een verhaal. Storm in een glas water dus.

[daellat]

Inderdaad, de gevorderde gebruiker zit zo veel met zijn telefoon bij zich dat hij het snel door gaat hebben als er geluid uit z'n telefoon komt + dat het wel eens in een verkeerde taal kan zijn natuurlijk.
Alhoewel de gevorderde gebruiker ook niet snel onbetrouwbare apps installeert waar deze malware in kan zitten.

[TimvH]

Er staat dat er geen alarmbellen gaan rinkelen bij installatie, waar je dus te zien krijgt welke permissies de app nodig heeft voor je hem kan installeren, de alarmbellen gaan pas rinkelen als de app al is geïnstalleerd.

[Eloy]

Daar is iets aan te doen.

http://stackoverflow.com/...nchrono/23758876#23758876

Door tijdens het bellen een geïnverteerd bel geluid af te spelen, kan je het onhoorbaar maken.

[joachim]

Als het onhoorbaar is dan kan GVS het ook niet opvangen.

[Torched]

Ja het bellen/belgeluid, maar om het telefoongesprek te initialiseren moet zover ik begrepen heb een audiobestand worden afgespeeld wat zegt "ok, Google bel 0900 blabla.

Dat kun je niet inverteren want dan werkt het natuurlijk niet. Je kunt het alleen doen op momenten dat je weet dat er niemand met de telefoon bezig is/in de buurt is en het kan horen. Wat vervolgens dus lastig is.

Daarom is het een storm in een glas water.

[Reactie gewijzigd door Torched op 25 juli 2024 05:05]

[capsoft]

Maar stel dat je je app zo aanpast dat hij afhankelijk van de tijd(zone) waarop hij is ingesteld dit om 3 uur 's nachts afspeelt op een zachter volume... dan zou het dus prima kunnen werken en zal het eindgebruikers nauwelijks opvallen. Je moet er maar opkomen om zoiets te gaan testen.

[Verwijderd]

Waarom al die moeite?
Als je als appmaker echt info wilt verzamelen,
Voeg dan gewoon de permissies toe die je wilt,
En ontwikkel gewoon een super populair spelletje.

9/10e van de gebruikers kijkt toch niet naar de bevoegdheden van de apps. En zeker nu de uitleg versimpelt is van die bevoegdheden is vaak volstrekt onduidelijk, welke informatie je nou deelt.

[daellat]

Het gaat meer om het feit dat je dus een duur nummer kan laten bellen (10ct/m of meer, ik weet niet tot hoe hoog dat op kan lopen) om zo geld te verdienen. dat is (gok ik) veel winstgevender aangezien je iemands persoonlijke data een enkele keer voor bijna niks kan verkopen, terwijl je met dit minimaal ~1 maand kan bellen voordat iemand de rekening krijgt en zich rot schrikt.

Stel even voor het gemak 4 uur per nacht x 0.1 euro x 25 nachten.
10 euro per gebruiker.
Dat ga je met het verkopen van persoonlijke (meta) data bij lange na niet halen, alhoewel deze rekensom die ik net gemaakt heb natuurlijk wat hoog ingeschat is.

[Smobbo]

hier reken je nog met 10 cent per uur, doe dat keer 60 en het wordt echt leuk
4*60= 240 minuten à 10 cent (wat niet eens hoog is) = 2,4 * 25 nachten = 60 euro

Heb je een betaal nummer van 1€ per minuut en dan schiet het al echt op


Anyhow, ik ben het wel met nul07 eens dat gewoon een simpel spelletje of zo maken die al je gegevens en mogelijkheden gebruikt makkelijker is (is er niet een permissie om te bellen met de telefoon zonder tussenkomst van de gebruiker? of smsjes te sturen naar een betaal nummer oid?)

Rekenen blijkt niet m'n 'goeiste' vak, zie Eppo hieronder

[Reactie gewijzigd door Smobbo op 25 juli 2024 05:05]

[Eppo ©]

240 min x 0,10 = €24,- per uur. Dat maal 25 nachten is €600,- per gebruiker. Bij €1,- per minuut zit je een factor 10 hoger en komt het neer op €6000,- per gebruiker.

[Finraziel]

Dat is niet hoog geschat hoor, betaalde informatienummers kunnen veel duurder zijn dan 10 cent per minuut...

Wat betreft een oplossing, ik weet niet of google makkelijk de audio interface kan afschermen tijdens het opnemen van geluid. Als dat kan dan lijkt dat me het beste, gewoon zorgen dat op dat moment geen andere app geluid kan maken... Anders misschien het volume op 0 zetten (en blijven checken dat die daarop blijft staan) tijdens dat interval?
Het lijkt me sowieso niet wenselijk dat op het moment dat de gebruiker een commando uitspreekt er ineens een notificatie doorheen komt of zo.

[TIGER79]

zoals hierboven aangegeven wordt gaat het niet om het inwinnen van info,
ook zou ik je graag een "super populair spelletje" zien ontwikkelen
Dat gaat niet zomaar, lang niet alles slaat aan (sterker nog 99% slaat niet aan) en gezien hoe volwassen de markt is vandaag de dag zul je het ook niet redden met een spelletje waar relatief weinig werk in zit : oftewel gaat je heel wat kosten om een spelletje te ontwikkelen dat kwalitatief een beetje mee gaat

[Verwijderd]

Juist daarom root ik mijn telefoon.

Gratis avast heeft een firewall en die heb ik standaard op white-list staan en alleen de apps welke voor het systeem nodig zijn en die ik vertrouw verleen ik toegang toe internet.

(en andere leuke dingen zoals app-ops en lucky patcher maar dat is mij al bijna teveel moeite)

[Verwijderd]

Voor mij zijn Google now en voice search batterijvreters die ik niet gebruik. En wat ik niet gebruik uninstall ik, of zet ik in quarantaine met Xprivacy als dat niet wil lukken. Dan hebben ze helemaal geen rechten meer.

Nu is dit een lekje dat eigenlijk niet in de praktijk te gebruiken is, maar toch...

[Verwijderd]

"En ontwikkel gewoon een super populair spelletje"

Je hebt in de gaten dat er honderd duizenden mensen zijn die dat proberen? "Gewoon een populair spelletje"

[LAZYDAD]

Precies, vandaag bijna AVG (anti virus) op telefoon gezet, totdat ik las dat ie ook permissie wil om betaalde telefoon nummers te bellen! Kan iemand mij vertellen waarom een anti virus programma moet kunnen bellen?

Die permissies zijn buitengewoon ruim gesteld in de meeste apps en vrijwel niemand kijkt ernaar. Dus simpele app maken met alle permissies werkt veel eenvoudiger.

[johnkeates]

Maar werkt GVS dan ook in lock stand? Siri werkt volgens mij niet als je in lock mode zit. Bij Windows was dat dacht ik ook beperkt.

[mar-10]

Ja, Google Now werkt ook als de telefoon op slot zit. Je moet echter wel een voice training doen, dus ik hoop vermoed dat het niet met een willekeurige stem zal werken.

[Finraziel]

Die voice training zal vermoed ik vooral zijn om de software te laten wennen aan specifieke eigenaardigheden in jouw stem. Ik verwacht dat het heel goed mogelijk is om een opname te maken van een gesproken zin die wel meteen zonder training goed verstaan wordt.

[Nimja]

Nee! Google now werkt NIET in lock stand. Als je de 'zoek' functie wil gebruiken in lock-stand moet je eerst unlocken. (net getest op Nexus 5)

[johnkeates]

Dan lijkt me dit hele gebeuren best wel meevallen. Het is een beetje een sensatie artikel...

Op het moment dat je een telefoon moet unlocken, inloggen, iets moet invoeren enz. en daarna iets 'kan' wat ingebouwd zit, volgens mij is dat gewoon een feature. Dat Google Now (en dus ook Siri en Cortana) dan op stemmen reageren lijkt me helemaal niet zo vreemd, daar zijn ze immers voor gemaakt.

Dat er dan op het toestel zelf een commando afgespeeld wordt en het toestel zichzelf weer kan horen, tsja, dat is leuk, maar dat kan ook met een externe bron. Het verschil zal dan wel zijn dat apps zelf Google Now kunnen starten, en dat ze dan daarna een commando kunnen afspelen, maar hoe gaat dat niet opvallen als iemand de telefoon net geunlockt heeft en in z'n hand houdt?

[TimvH]

Ik kan mezelf niet voorstellen dat dit voor malafide apps een interessante manier is als de gebruiker het zou kunnen horen, als ze iets zouden kunnen maken dat zich voor doet als microfoon en vervolgens een audio bestand afspelen zou het nog kunnen werken, maar ik neem aan dat Google alles (tijdelijk) opslaat op zijn servers en de commando's dus kan vergelijken met elkaar en als malafide kunnen bestempelen.

[10 feet high]

Ja en neen. De truc is niet dat je luidspreker reageert op "Bel nu een extreem duur betaalnummer", maar reageert op een voice commando à la "Woppa Gangnam Style". De oplossing zit hem dan ook niet in het blacklisten van bepaalde voice commando's, maar in het isoleren van permissies. Google Now kan blijkbaar dingen doen waarvoor ze geen permissie hebben.

[Verwijderd]

De truc is niet dat je luidspreker reageert op "Bel nu een extreem duur betaalnummer"

Volgens mij is dat nu juist exact wel het probleem.

Je hebt een app die geluid kan maken. Google now heeft een intent die door iedereen aangeroepen mag worden, waardoor de telefoon gaat luisteren naar voice commando's.

Voer de intent uit en laat je app roepen: 'Ok Google, dail [duur nummer hier]'

Het is niet zozeer een hack, als wel slim gebruik maken van de mogelijkheden die standaard aanwezig zijn. Net als de truc een paar jaar geleden waarmee je de telefoon kon resetten naar fabrieksinstellingen door het 'bellen' van speciale codes.

[Bosmonster]

De onderzoekers sluiten niet uit dat VoicEmployer, zoals ze de app noemen, ook in gewijzigde vorm zou kunnen werken op iOS of Windows Phone.

Volgens mij hebben iOS apps (en volgens mij ook WP apps) helemaal geen toegang tot de telefoon-app? Volgens mij kun je met die OS'en dus onmogelijk zomaar nummers bellen.

[Reactie gewijzigd door Bosmonster op 25 juli 2024 05:05]

[jiriw]

De hele truc is juist dat toegang tot de telefoon-app niet nodig is. Omdat je de voice control app het werk laat doen (Siri bij Apple, Google Now bij Google...) Voor het gebruik van die apps zijn dus geen speciale rechten nodig. De malware-app doet alsof hij een gebruiker is die een voice command opgeeft. Bijvoorbeeld het bellen van een duur betaalnummer. De voice-control-app start vrolijk voor de malware app de telefoon-app. De voice-controll-app heeft die rechten namelijk wel... standaard.

Maar zoals zoveel mensen al aangaven en de onderzoekers ook deels al toegeven... Storm in een glas water. Het concept is interessant. De praktijk een stuk weerbarstiger. Het hoorbaar moeten afspelen van een malafide voice command, het hard genoeg moeten staan van het luidsprekervolume zodat de microfoon genoeg van het signaal opneemt en de mogelijkheid van Google dit makkelijk* aan 'hun' kant en zonder security updates te kunnen filteren... Ik zie er weinig mogelijkheden voor een (crimineel) R.O.I. in.

*Voice commands gaan via Google's servers, waarschijnlijk omdat de speach-to-text herkenning te veel CPU resources vergt om door de smartphone gedaan te kunnen worden. En ook omdat Google denk ik graag een databaseje met die informatie aanlegt. Dus als er een malafide command ontdekt wordt kan deze vrij eenvoudig en voor iedereen geblokkeerd worden.

[Bosmonster]

Maar dan moet je eerst Siri nog softwarematig zien te starten, en ook dit is niet mogelijk.

[Samdolyn]

Eenvoudig te fixen door de speakers uit te schakelen als er een voice command wordt ingevoerd.

[fantafriday]

Of gewoon google voice uitzetten?.....

[Samdolyn]

Dit was meer bedoelt voor mensen die het toch gebruiken. Dat google instelt dat na het eerste woord van een voice command de speaker uitgaat.

[Atomsk]

Vraag me af of het volgende zou werken: maak een YouTube-filmpje en schreeuw daarin op een gegeven moment OK GOOGLE CALL <telefoonnr>. Wanneer je je android mobiel op Amerikaans Engels hebt staan met Google Now altijd actief, dan denk ik dat je mobiel gewoon gaat bellen. Ook tijdens het afspelen van filmpjes is je telefoon namelijk aan het luisteren naar commando's.

[Enai]

Ja hoor.

Hier is een onbedoelde demonstratie:
http://www.youtube.com/watch?v=XO1GJ3wrZcE

[bbstreams]

"de telefoon" bestaat niet meer, op een smartphone is het gewoon een modem, die zijn voorzover ik weet gewoon via AT commando's bereikbaar, dus malware kan daar vrij eenvoudig misbruik van maken, daar heb je voice helemaal niet voor nodig.