نشت اطلاعات فعالیت کاربران از طریق سیستم‌های اعلان تغییر فایل در ویندوز، لینوکس و اندروید

پژوهشگران دانشگاه تکنولوژی Graz در اتریش کشف کرده‌اند که قابلیت‌های اعلان تغییر فایل (File-change notification) در سیستم‌عامل‌های لینوکس، اندروید، ویندوز و macOS می‌تواند برای نظارت بر فعالیت سایر کاربران در یک سیستم مشترک مورد سوءاستفاده قرار گیرد. این روش اجازه می‌دهد تا مواردی نظیر ریتم تایپ کاربر و وب‌سایت‌های بازدید شده رصد شوند.

مکانیسم حمله و دسترسی‌ها

در این سیستم‌عامل‌ها، اپلیکیشن‌ها می‌توانند درخواست کنند تا در صورت ایجاد، تغییر یا حذف فایل‌ها هشدار دریافت کنند. برنامه‌هایی مانند ویرایشگرهای متن، مدیریت‌کننده‌های فایل و آنتی‌ویروس‌ها از این قابلیت استفاده می‌کنند. نکته کلیدی این است که این عملیات نیازی به دسترسی‌های سطح بالا (Elevated Privileges) ندارد و تنها داشتن دسترسی Read به مسیر مورد نظر کافی است.

اگرچه این حملات محتوای فایل‌ها را افشا نمی‌کنند، اما پژوهشگران ثابت کردند که نام فایل‌ها و زمان وقوع رویدادها برای بازسازی فعالیت‌های کاربر و اپلیکیشن‌ها کافی است. در اکثر موارد، مهاجم باید بتواند کدی را تحت یک حساب کاربری مجزا روی دستگاه اجرا کند؛ اما در اندروید، حتی یک اپلیکیشن بدون هیچ‌گونه دسترسی (Permission) می‌تواند این کار را انجام دهد.

تحلیل اثرات در سیستم‌عامل‌های مختلف

• لینوکس: مهاجم می‌تواند با نظارت بر پوشه‌های حاوی فایل‌های دستگاه (Device Files) مربوط به ورودی کیبورد، زمان فشردن کلیدها را تشخیص دهد. این روش با تحلیل فواصل زمانی بین ضربات (Keystroke intervals)، دقت شناسایی تایپ را بین ۹۳ تا ۱۰۰ درصد می‌رساند. همچنین از طریق رصد فونت‌های بارگذاری شده توسط Firefox، وب‌سایت‌های بازدید شده با دقت ۸۷.۹٪ شناسایی شدند.
• ویندوز: بحرانی‌ترین وضعیت زمانی رخ می‌دهد که کاربر ریشه درایو سیستم (Root of system drive) را رصد کند. در این حالت، ویندوز مسیر کامل هر فایل تغییر یافته در کل ماشین، حتی در پوشه‌های Home سایر کاربران را گزارش می‌دهد. این موضوع باعث شد پژوهشگران با دقت ۹۷.۸٪ در Firefox و ۴۸.۵٪ در Edge، وب‌سایت‌های بازدید شده توسط کاربران دیگر را شناسایی کنند.
• اندروید: در تست‌های انجام شده روی گوگل پیکسل و سامسونگ گلکسی، مشخص شد اپلیکیشنی بدون دسترسی می‌تواند پوشه ذخیره‌سازی خصوصی (Private storage) اپلیکیشن‌های دیگر را رصد کند. برای مثال در WhatsApp، زمان ارسال/دریافت و نام فایل‌های مدیا و زمان حذف آن‌ها قابل شناسایی بود.
• macOS: کمترین میزان نشت اطلاعات در این سیستم‌عامل مشاهده شد، زیرا تنها فایل‌های با دسترسی جهانی قابل رصد هستند، اما همچنان اجرای اپلیکیشن‌ها و تغییرات تنظیمات قابل پیگیری است.

پاسخ سازندگان و وضعیت اصلاح

در لینوکس، هسته (Kernel) تا حدودی مقاوم‌سازی شده تا فایل‌های دستگاه دیگر رویدادهای دسترسی و تغییر ایجاد نکنند (CVE-2025-68788). مایکروسافت اعلام کرده است که رفتار ویندوز «طبق طراحی» (By Design) است و چون محتوای فایل‌ها افشا نمی‌شود، آن را یک آسیب‌پذیری امنیتی نمی‌داند. گوگل و اپل هنوز پاسخی به این گزارش نداده‌اند.

در حال حاضر هیچ گزارشی از بهره‌برداری واقعی (In-the-wild exploitation) از این روش منتشر نشده است، اما کد Proof-of-Concept در گیت‌هاب در دسترس است.