AndroidLost: удалённое управление утерянным смартфоном из песочницы

Никто не застрахован от утери мобильного устройства, которое ценно не только собственной стоимостью, но и содержащейся на нём информацией.
В этой статье я опишу функционал программы, которой я пользуюсь вот уже год на двух своих устройствах на базе ОС Android.

Поводом к написанию данной статьи стал комментарий хабраюзера Kapustos в статье Сотрудники Symantec потеряли 50 мобильников. Не находили?. Он просил посоветовать софт, функционал которого схож с описанным в статье. Подробности под хабракатом.



AndroidLost — программа с простеньким интерфейсом (точнее даже — практически без него), управляется через собственный вэб-сервис. Программа не требует root-привелегий, а для своего функционирования запрашивает права администратора устройства:



Для работы с программой не требуется регистрация. После установки на смартфон, на сервер отправляется google-key устройства и далее оно получает команды с сервера через Google Push, что является положительным моментом в вопросах энергосбережения устройства и надёжности канала обмена данными.
На сайте AndroidLost.com авторизация происходит через API гугла с использованием учётной записи контролируемого устройства.

Вот так выглядит интерфейс управления:



В правом верхнем углу находится ниспадающее меню с выбором устройства, если на вашем аккаунте оно не одно.

В разделе Controls собраны инструменты удалённого управления, сгруппированные в подразделы. Рассмотрим наиболее интересные функции.

Alarm
Включает экран и сирену на максимальной громкости в течение заданного времени. Даже если телефон в беззвучном режиме. Звучит очень громко и очень неприятно.

Vibrate
Вибрация в течение заданного времени.

GPS
Отсылает текущие координаты телефона с привязкой к GoogleMaps.
Если GPS-модуль отключен, то придут координаты, вычисленные по средствам сотовой сети. Но GPS-модуль можно включить удалённо в соответствующем разделе на сайте.
Вот пример определения координат с выключенным GPS:



Погрешность составила 50 метров.

Phone Status
Возвращает информацию о телефоне:



Message popup
Включает экран и показывает сообщение:



SMS inbox and sent
Показывает 10/20/50 последний SMS сообщений:



Boot message
При каждой загрузке телефона показывает наше сообщение.

Overlay message
Постоянно показывает красным шрифтом сообщение поверх всего.
Для отключения необходимо послать пустую строку, но у меня после этой операции на экране остался красный «пробел». Так что аккуратнее с этой функцией.

Package display
Эта функция скрывает программу AndroidLost из списка установленных приложений.

Lock phone
Позволяет заблокировать смартфон с PIN-кодом. Если смартфон в момент выполнения команды используется, то экран погаснет и при попытке его включения появится запрос PIN-кода:



Erase SD Card
Удаляет содержимое карты памяти.

Wipe phone
Сбрасывает смартфон на заводские настройки.

Text to speech
Отправляет на смартфон текст, который будет произнесён голосом через TTS-движок. Осторожно: у неподготовленного злоумышленника может случиться инфаркт.

Call List
Показывает последние 20 записей журнала звонков:



Sound Recording
Пишет звук с микрофона. Если выбранная длительность не превышает 2 минут, то можно прослушать прямо с сервера.
Если превышает — то файл сохраняется на SD-карту и оттуда его можно скачать через Content Browser (премиальная функция сервиса)

Front Camera и Rear Camera
Возвращает снимки с фронтальной либо с задней камеры:



Имеется возможность удаленного управления через SMS.
По умолчанию Polling Service для этой функции отключен. Его можно включить либо вручную через вэб-сервис, либо настроить автоматическое включение при смене SIM-карты.

Внимание! SMS-функции я сам не тестил. В комментариях на Маркете встречал жалобы, что программа берет деньги за SMS. Честно говоря, я всегда скептически относился к комментариям на Маркете, но проверять не стал. На AndroidLost.com не нашёл никаких упоминаний об этом.

За год использования на двух девайсах никаких нареканий программа не вызвала. Хотя функционал настораживал и я поначалу регулярно делал nandroid backup.
17 марта 2012, 22:32
282
dibr51 11,2

комментарии (66)

+2
BaHeK #
Шикарно! На мой взгляд самое удобное решение!
+1
windofchange #
При определенных обстоятельствах (например поймаете трояна) — этот софт может сыграть с вами очень злую шутку. К примеру очистят ваш счет в альфабанке (не дай Бог конечно же).
А вообще я бы посоветовал на телефоне ничего важного и секретного не держать, либо криптовать с помощью того же PGP.
+1
dibr51 #
Действительно, о таком сценарии я не думал. Полезное замечание, но такой вариант крайне маловероятен при случайном заражении, а для заказной атаки я слишком беден :-)
Но другим людям может быть актуально.
0
primalscream #
кстати, а где сейчас живет проект pgp?
0
4ex0V #
А зачем все это нужно, если я предположим нашел Nexus S и просто поставил свою прошивку? Ваши данные? Да на кой они мне? А вот телефон к месту.

+2
DoubleG #
Понятное дело что в умелых руках злоумышленника/нашедшего телефон 100% потерян. В остальных случаях может помочь.
+1
4ex0V #
Это при условии, что вы сами умеете использовать данный софт. А я очень сильно сомневаюсь, что большая часть людей которые теряют, умеют им пользоваться.
+2
dibr51 #
А Вы уверены, что это самое большинство утруждает себя чтением блога Безопасность на Хабре?
0
4ex0V #
А вы уверены, что, к примеру, на умного человека найдется не менее сообразительный?
Предположим, вы потерпевший с установленным подобным софтом, а я злоумышленник. Как видите, на все ваши манипуляции с телефоном у меня есть хорошее противодействие (их даже два):
1. Возврат телефона в заводское состояние
2. Установка прошивки
Два сапога пара.
Но, я с вами согласен, что как умный может прийтись на умного, так же глупый на глупого, умный на глупого, глупый на умного.
Так что, все относительно. Не нужно рассматривать данный софт как спасение от всех бед
+3
dibr51 #
Если Вы хотели мне доказать, что вода мокрая, то я с Вами полностью согласен!
+1
reallynoideas #
Да, но никто не будет перепрошивать телефон после покупки на черном рынке (обычно «найденные» телефоны сбываются). Работает и работает. + Человеку купившему не надо знать что у него установлено это ПО, я бы сначала проследил за человеком, узнал о его жизни, где он бывает, кому звонит, может быть даже приватную инфу, прочее. Затем на основе собранной информации действовал. Если человек порядочный, то он телефон вернет. Если нет, то обратился бы в милицию и выложил бы там все досье. Если бы и это не помогло, то тут уже можно придумать интересные русские забавы =).
+1
pred8or #
Вообще-то такое скрытное наблюдение может оказаться чреватым. Были случаи, когда досье в милиции обращали против самого обратившегося
+9
DoubleG #
Амиго, настрой обязательно и потестируй управление через СМС. Я дико жалею что не сделал этого.

В моём случае у меня увели телефон с выключенным вайфаем и мобильным интернетом, в результате чего толку от программы было ноль. А т.к. управление через СМС я не настроил, то все мои попытки удалённо включить каналы получения информации не увенчались успехом.

Плюс вместе с этой софтиной у меня стоял Prey который без интернета оказался чуть более чем абсолютно бесполезен.
+1
DoubleG #
Да, в моём случае воры не удосужились вынуть аккумулятор пока телефон не разрядился, поэтому шанс поймать уродов был.
+2
dibr51 #
Никогда не отключаю мобильный инет, а при смене сим-карты настройки инета должны автоматом подцепиться. Но замечание правильное, настрою активацию по смене симки.
0
Sicness #
И как часто заряжаете телефон?
+2
dibr51 #
Привык всегда ставить на ночь, хотя и остаётся процентов сорок. Я не хочу быть рабом батарейки, ограничивать своё удобство и превращать смартфон в телефон в борьбе за количество дней автономности.
0
xldsakamrhahn #
Пользуюсь давно. Благо телефон еще не терял, но функционал просто шикарен.
К сожалению на моем Galaxy S не работает включение/выключение GPS и определение координат. Все остальное работает.
+3
andycaramba #
Если у вас телефон от Samsung, то почему не использовать SamsungDive? И приложений никаких ставить не надо и не светится ни в ланчере, ни в списках установленного софта. Да и GPS, по крайней мере на Galaxy S II, очень даже включается и позволяет вести трекинг устройства с возможностью просмотра пути перемещения.
0
lehha #
Супер! Вещь от производителя и выполняет такие же функции. SGSII проверил — отлично работает! Причем помню мне эту штуку зарегистрировали сразу в магазине (привязали к телефону), сейчас сменил пароль — и настроил дальше.
0
xldsakamrhahn #
Не знал о таком ПО… Спасибо
0
Ajex #
Спасибо за обзор, пригодится. Может я невнимательно читал, но так и не понял оно работает только в зоне wi-fi или при отсутствии оного умеет использовать иные методы коммуникации?
0
dibr51 #
Работает через Google Push на любом канале передачи данных.
0
Ajex #
Понятно, а существует ли какая-то защита от инсайда владельцев сервиса? Может я конечно последний параноик, но мне бы не хотелось под боком иметь шпиона, который умеет записывать голос, видео, читать смс-ки и т.д.
Т.е. есть ли какая-то защита, на случай если кто-то из админов сервиса решит воспользоваться служебным положением. Или банально хакнут сам сайт, он выглядит как-то совсем ненадежно.
По-простому, имея логин на сайте можно осуществлять все действия или для этого требуются еще каике-то данные?
0
silentnuke #
требуется доступ к гугл аккаунт, к которому привязан телефон.
0
dibr51 #
100% гарантии никто не даст — всё строится на доверии.
Разработчик утверждает, что доступ к телефону возможен только через авторизацию в Гугле. В программу встроен админ-модуль для отладки, который имеет доступ только к некоторой статусной информации (типа номера версии) и к последним 10 строкам лога.
По поводу ненадежности сайта в FAQ есть такая запись:
— Почему сайт такой убогий?
— Я инженер, а не вэб-дизайнер

Резюмирую: удалённый контроль через любой сторонний сервис не может быть полностью прозрачным. Либо Вы доверяете разработчику и имеете хоть какую-то защиту, либо придумываете что-то своё.
0
Ajex #
Ну получается, что со стороны владельца сервиса и лиц, имеющих доступ (а среди них нужно рассматривать всех, даже жену, тещу и кошку админа), имеется возможность полного мониторинга вашего телефона, что не есть хорошо.
Также, учитывая, что автор все в одном лице: и программист и дизайнер и администратор сайта и т.д., безопасность вэб сервиса может быть недостаточной, что не исключает возможности взлома.
В общем это просто взгляд со стороны параноика, если ничего ценного в телефоне нет, особо переживать не стоит. Но без механизма, который без некоего секретного ключа не дает возможности удаленного доступа даже владельцу сайта, пользоваться стремно.
0
agmt #
Согласен. Но безопасно оно будет выглядеть в случае:
1. данное приложение имеет права на всё кроме интернета;
2. существует приложение-связка, которое имеет права только на интернет (и м.б. IPC — я не так хорошо знаю архитектуру андроида);
3. связка не поставляется через маркет, а поставляется в исходных кодах, где каждый может его изучить (код маленький, крайне редко изменяемый и т.п.) и должен внести свои ключи, сервер для связи и т.п.
Параноики счастливы. Впрочем, учитывая, что сие приложение всё-таки на них и рассчитано (хотя основная масса тупо поставит поиграться), то можно было бы сделать 2 приложения в маркете: AndroidLost, AndroidLost.Paranoid (ну и в описаниях сказано, что к чему) — всё-таки изменений в коде мало.
0
Ajex #
Кстати, это был бы отличный способ монетизации приложения. Т.е. в исходном виде оно бесплатно, а для параноидального режима сделать отдельное приложение, обеспечивающее должный уровень безопасности.
Хотя умаю будет достаточно авторизации по ключам. Все команды в платной версии подписываются открытым ключом, который хранится на компьютере, а в случае утери телефона забивается в профиль. На стороне телефона хранится закрытый ключ, по которому провереются валидность отправленных команд.
Т.о. даже администратор или любой, кто получит доступ к вэб сервису, не сможет отправить ни одной комманды, ибо у него не будет ключа.
Ну, или более простой вариант, после авторизации сервис должен спросить код (который понятно не должен ни где хранить у себя), по которому зашифруются команды, данный код будет также указан в настройках программы.

Кстати, делать скрытым приложение нет смысла, для себя его проще подредактировать, чтобы переобозвать приложение как «Angry Birds Extensions» или как-то еще. Хрен кто догадается, что там на самом деле.
0
Emelyanov #
Package display
Эта функция скрывает программу AndroidLost из списка установленных приложений.

Как оно это делает?
0
dibr51 #
Я не разработчик под Android и не разработчик данной программы в частности, поэтому могу лишь предположить, что программа использует имеющиеся возможности платформы. Например, темы для Theme Chooser (из CyanogenMod) устанавливаются из Маркета, но в списке приложений не видны (при этом видны в управлении приложениями). Возможно, программа меняет какой-то параметр, который отслеживается лаунчером при формировании списка приложений.
0
dibr51 #
В догонку: возможно, в тексте статьи не очень внятно звучит, но на всякий случай поясню: программа скрывается из списка приложений в лаунчере (app drawer), но не в управлении приложениями (там, где его можно деинсталлировать).
0
iru #
Большой брат видит тебя. Это конечно паранойя но очень похоже на то что к 2020 году все мобильники будут работать на большого брата.
0
Umnik_ADS #
Кто сказал, что приложение включает GPS поиск? Приложениям это запрещено делать на современных (от, кажется, 2.2) версиях Андроида. Т.е. для работы GPS Find'a (или как там называется этот функционал у программы) в самой системе должно быть разрешено использование GPS.
0
dibr51 #
К функциям включения/отключения WiFi и GPS на сайте имеется пояснение: This is not part of the official API so it may not work on all phones. Сейчас попробовал — WiFi включился, GPS — нет. Android 4.0.3. Но на какой-то из прошивок, я помню, работало. Я довольно часто меняю прошивки, поэтому, увы, даже и не вспомню версию Андроида.
0
Umnik_ADS #
Работало на старых, значит. А Wi-Fi включить действительно можно.
0
eRaider #
Слышал я две истории про потерянные телефоны с аналогичными программами. В обоих случаях владельцы знали, что телефоны находится в бизнес-центрах. Попытались вычислить новых владельцев — результат отрицательный.

Не преувеличена ли полезность данных программ?
0
dibr51 #
Приведу два примера:

1. Вы забыли телефон в гостях и обнаружили это дома. Забрать его вы хотите завтра, но беспокоитесь о приватных данных. Можно удалённо установить PIN-код на разблокировку экрана.

2. Телефон нашёл/украл далёкий от IT человек, сменил симку и пользуется им. Ваши действия:
— получаете его номер телефона
— получаете данные о его сим карте
— связываетесь с ним, сообщаете ему о наличии этих данных и о возможном заявлении в органы
— в крайнем случае, обращаетесь в органы и предоставляете эту информацию вместе с IMEI телефона.
0
eRaider #
Пример 1 «канает», пример 2 — на обращении в органы все и закончится.
0
silentnuke #
ну не скажи, 2 случая точно знаю из реальной жизни, когда органы помогли найти.
0
edhell #
Про 2 заблуждаетесь, если известен человек, то «органы» без проблем позвонят и вызовут человека на допрос, припугнув, что если не явится — приедет наряд и привезёт в «кандалах». Могут правда сначала вас попарить «где родился, когда родился…». И отслеживание по IMEI через операторов они делают.
0
iru #
Ну возможен же и самостоятельный поиск ...,
я думаю что получив удаленный доступ с своему, украденному телефону можно вполне компенсировать его отсутствие тем, что изрядно подпортить жизнь злоумышленнику. (запись разговоров, фото видео, соц. сети. и прочее будет под контролем.)
image
+2
silentnuke #
в умелых руках, конечно же, не спасет, но явно лишнем не будет. попытка — не пытка.
0
agmt #
Вот многие пишут, что сие приложение спокойно удаляется перепрошивкой и новый владелец счастлив. Вот только:
1. несообразительный не знает перепрошивки, тупо сменит симку, приложением найдётся;
2. сообразительный скорее всего свяжется с бывшим владельцем и честно вернёт за вознограждение;
3. ну да, дерьмо бывает.

Только мне кажется, что смысл данного приложения в том, чтобы сделать что-то до того, как телефон будет обнаружен другим человеком. Например, найти, где в траве ты его потерял.
0
Riku #
Минус в том, что не на всех устройствах есть синхронизация с сервисами гуголя. А так познавательно, спасибо за хорошую статью
0
silentnuke #
при желании эта проблема решается установкой google apps, разве нет?
0
zadnica #
Видимо, я неисправимый параноик — а если поломают сервис или уведут гугл-аккаунт? Получается у злоумышленников будут СМС, звонки и другая инормация как на блюдечке.
0
silentnuke #
ну если вы параноик, не пользуйтесь.
0
silentnuke #
ну или создайте свое решение. никто же не запрещает.
«волков боятся — в лес не ходить».
0
Shirixae #
Да и телефоном я бы на месте параноика пользоваться не стал. Ведь так государство может за мной следить.
0
dibr51 #
А Вы не распространяйтесь о наличии у Вас этой программы. А сторонний злоумышленник вряд ли догадается залогиниться под Вашей учеткой вне сервисов Гугла.
0
silentnuke #
ну имея доступ к гугл аккаунту, можно спокойно узнать и сервисах имеющих доступ.
0
dibr51 #
Не в этом случае.

0
silentnuke #
хм, действительно облазил весь аккаунт, про сервис нигде ни слова, странно.
+4
Backspace #
Пароль для входа в Альфа-Клик — 58300436. Кто ж так замазывает то?
+3
eyeless_watcher #
Его можно было вообще не замазывать, он одноразовый и валиден только для той сессии, в которой был запрошен.
+1
friday #
> На сайте AndroidLost.com авторизация происходит через API гугла с использованием учётной записи контролируемого устройства.

Насколько я помню, при смене сим-карты гугловая авторизация слетает.
0
dibr51 #
Вы про какую авторизацию? Юзера — в accounts.google.com, смартфона — там же, или программы — на androidlost.com с использованием google-key?
В процитированном Вами говорится об авторизации на сайт юзером, при чем здесь сим-карта вообще?
Если Вы про гугл аккаунт на телефоне, то нет — он не разлогинивается, я в отпуске несколько симок менял без каких-либо спецэффектов.
+3
ZimM #
Небольшой лайфхак — если закинуть apk с приложением в папку /system/app/ (для чего требуется рут-доступ), то обычными средствами системы его нельзя будет удалить, а если еще и включить функцию
Package display
Эта функция скрывает программу AndroidLost из списка установленных приложений.

то оно не будет видно не только в меню, но и ни в одном диспетчере приложений, а также переживёт полный wipe.
0
dibr51 #
Так точно! Но с этим нужно быть осторожным тем, кто часто прошивается: запросто можно забыть его туда снова закинуть, как это случилось однажды со мной.
0
SidexQX #
Прошу прощения, может кто то уже спросил. Как будет обработан момент со сменной google аккаунта на устройстве? Push сообщения не пройдут или сам заблокируется? Смутил интерфейс на скриншотах, сайт удивил… А в общем отличая программа, спасибо за детальный обзор, думаю поставить на вооружение)
0
dibr51 #
Если сменился google-аккаунт на устройстве, то доступ с вэб-морды будет только через новый аккаунт.
Вижу два решения:
1. Настроить автоматическую активацию sms-модуля при смене сим-карты
2. Активировать sms через вэб-морду как можно скорее и телефон при включении успеет обработать этот пуш до смены аккаунта.
0
bockra #
Пользовался один раз прогой этой когда потерял телефон где-то в офисе. Через сервис сделал фото с фронтальной камеры и по фото нашел телефон. Еще сирена довольно полезная штука
0
shanker #
Пишет звук с микрофона.
Возвращает снимки с фронтальной либо с задней камеры


Ну прям шпионская штучка! Оставил в комнате с интересуемым объектом и следишь за ним
0
SpooNesT #
Все это уже есть в Avast Mobile Security — Avast Anti-Thief.
Причем управление телефоном через интернет очень ненадежно — достаточно отключить интернет. СМС доступны всегда, если телефон включен. Если симку заменить, то телефон отошлет смс с новым номером симки (если, конечно, на ней есть деньги). Идеального способа защитить свой телефон нет. Даже привязка к Google Account — IMEI не поможет, т.к. IMEI, насколько я знаю, можно изменить
0
dibr51 #
В AndroidLost тоже есть управление через смс.
Почитал я описание Аваста и вижу сразу два минуса:
— Отсутствие интернет-канала коммуникации
— Необходимость настройки после установки

К тому же отсутствуют такие функции, как запись голоса и получение фото с любой из камер.

Avast выглядит намного надёжнее, как готовый продукт, но AndroidLost всё же более гибкий.

Только зарегистрированные пользователи могут оставлять комментарии. Войдите, пожалуйста.