Анализ по стуку клавиш

Исследователи из Грацского технического университета опубликовали работу о фундаментальной проблеме, которая затрагивает Linux, Android, Windows и macOS. Речь не об уязвимости в привычном смысле, а о побочном канале, встроенном в механизмы отслеживания изменений файлов.

Суть в том, что подсистемы уведомлений о файловых событиях — inotify в Linux, FileObserver в Android, ReadDirectoryChangesW в Windows, FSEvents в macOS — доступны непривилегированному пользователю. Само по себе это не проблема. Проблема в том, что они сообщают о событиях в файлах, которые читать напрямую нельзя. В Linux достаточно иметь доступ к директории /dev/input, чтобы видеть, когда нажимаются клавиши. По интервалам между нажатиями исследователи восстановили набираемый текст с точностью от 93 до 100%. В Windows наблюдение за корнем диска C:\ позволяет отслеживать, какие сайты посещает другой пользователь. Microsoft назвала это «недокументированной функцией». В Android FileObserver обходит изоляцию хранилищ и позволяет приложению без разрешений видеть, когда в WhatsApp приходит фото или видео.

Уязвимости закрыли частично и не везде. В Linux в декабре 2025 года ограничили, какие данные о файлах доступны в директории /dev, в Windows добавили политику, закрывающую доступ к данным обновления файлов без привилегий, — но она по умолчанию выключена. Для Android и macOS патчей нет вообще. При этом в Linux осталась вторая атака, которая работает до сих пор, а именно мониторинг изменений файлов позволяет узнать, когда пользователю предложат ввести пароль, и в этот момент, например, можно вывести на экран собственное фейковое окно, перекрыв легитимный запрос.

Даже когда патчи допилят, в России легче не станет. Проблема в том, что у нас с обновлениями сейчас сложно. С февраля 2026 года пользователи Windows и Linux массово жалуются на недоступность апдейтов. Одни винят новые алгоритмы блокировок, другие санкционную политику вендоров. В итоге значительная часть парка остается без патчей.

Атака не требует прав администратора, не оставляет следов в логах и работает на всех платформах. И пока одни обсуждают геополитику обновлений, другие просто считают интервалы между стуками клавиш.

@antiinfosec