Keamanan perangkat mobile menghadapi ancaman baru ketika para peneliti menemukan metode canggih untuk menembus perlindungan yang ada terhadap charger USB berbahaya. Sementara pengguna sudah terbiasa dengan peringatan tentang serangan juice jacking di stasiun pengisian publik, evolusi baru dari teknik ini menimbulkan risiko yang lebih besar bagi pengguna iPhone dan Android dengan melewati langkah-langkah keamanan bawaan.
Evolusi Melampaui Juice Jacking Tradisional
Para peneliti di TU Graz , Austria , telah mengidentifikasi serangkaian metode serangan baru yang mereka sebut choicejacking, yang merupakan kemajuan signifikan dari teknik juice jacking yang sudah berusia satu dekade. Tidak seperti serangan tradisional yang sebagian besar dapat diatasi dengan pembatasan yang mencegah transfer data ketika perangkat terkunci, choicejacking mengeksploitasi kerentanan yang lebih canggih untuk mendapatkan akses tidak sah ke informasi pribadi.
Metode serangan baru ini bekerja dengan menyamar sebagai tindakan pengguna, secara efektif mengelabui perangkat agar percaya bahwa pengguna telah secara aktif memilih untuk beralih dari mode pengisian saja ke mode transfer data. Penipuan ini memungkinkan charger berbahaya untuk melewati prompt keamanan yang biasanya akan memperingatkan pengguna tentang upaya akses data potensial.
Vektor Serangan Khusus Platform
Pada perangkat Android , choicejacking mengeksploitasi Android Open Accessory Protocol ( AOAP ), yang biasanya mengelola koneksi ke periferal seperti mouse dan keyboard. Penyerang memanfaatkan sistem ini untuk membajak kontrol input melalui Android Debug Bridge ( ADB ), memungkinkan mereka mensimulasikan interaksi pengguna dan mengubah mode USB tanpa persetujuan pengguna yang asli. Pendekatan ini berpotensi memberikan penyerang kontrol penuh atas perangkat dan akses ke data sensitif.
Pengguna iPhone menghadapi kerentanan yang berbeda namun sama mengkhawatirkannya. Kabel USB atau charger berbahaya dapat memicu peristiwa koneksi yang menyamar sebagai aksesori audio Bluetooth . Meskipun serangan iOS tidak dapat mencapai tingkat akses sistem yang sama seperti rekan Android mereka, serangan ini tetap memungkinkan akses tidak sah ke file dan foto tertentu yang tersimpan di perangkat.
Perbandingan Metode Serangan
| Platform | Vektor Serangan | Level Akses | Metode |
|---|---|---|---|
| Android | Eksploitasi AOAP + ADB | Kontrol sistem penuh | Pembajakan izin perangkat peripheral |
| iOS | Spoofing koneksi Bluetooth | Akses terbatas pada file/foto | Koneksi aksesori audio palsu |
Respons Industri dan Status Saat Ini
Tim peneliti menguji metode serangan mereka di delapan produsen smartphone besar, termasuk Apple , Samsung , Google , dan Xiaomi . Mengikuti praktik pengungkapan yang bertanggung jawab, mereka memberi tahu semua perusahaan yang terkena dampak tentang kerentanan tersebut. Enam dari delapan produsen telah merilis patch atau sedang aktif mengerjakan perbaikan untuk mengatasi celah keamanan ini.
Meskipun upaya perbaikan yang sedang berlangsung ini, penemuan tersebut menyoroti tantangan berkelanjutan dalam mengamankan perangkat mobile terhadap metode serangan yang semakin canggih. Kemampuan untuk melewati perlindungan yang ada menunjukkan bagaimana penyerang terus mengembangkan teknik mereka untuk tetap selangkah lebih maju dari langkah-langkah keamanan.
Produsen Perangkat yang Diuji
| Produsen | Status Patch |
|---|---|
| Apple | Dipatch/Dalam Proses |
| Samsung | Dipatch/Dalam Proses |
| Dipatch/Dalam Proses | |
| Xiaomi | Dipatch/Dalam Proses |
| 4 Merek Tambahan | 6 dari 8 total produsen telah menangani |
Strategi Perlindungan dan Rekomendasi Pengguna
Pertahanan paling efektif terhadap serangan choicejacking tetap menghindari stasiun pengisian publik sepenuhnya. Para ahli keamanan merekomendasikan membawa solusi pengisian pribadi, termasuk power bank portabel atau kabel pengisian pribadi, saat bepergian atau menghabiskan waktu lama jauh dari sumber daya yang terpercaya.
Untuk pengguna Android yang harus menggunakan charger yang tidak dikenal, mengaktifkan mode Lockdown memberikan perlindungan tambahan, meskipun fitur keamanan ini memerlukan aktivasi manual setiap kali perangkat terhubung ke sumber pengisian yang tidak dikenal. Langkah tambahan ini, meskipun tidak nyaman, dapat mencegah upaya akses tidak sah selama sesi pengisian.
Munculnya choicejacking juga menggarisbawahi masalah yang lebih luas tentang stalkerware dan pemantauan perangkat yang tidak sah. Pengguna harus secara teratur meninjau aplikasi yang terinstal, memeriksa izin aplikasi, dan waspada terhadap perilaku perangkat yang tidak biasa seperti peningkatan penggunaan data, pengurasan baterai yang lebih cepat, atau masalah kinerja yang tidak terduga yang mungkin menunjukkan keamanan yang terganggu.
