AliExpress utiliza la API WebAudio y gráficos de audio con ganancia cero para realizar fingerprinting silencioso de dispositivos

La página de inicio de AliExpress crea silenciosamente gráficos de procesamiento de WebAudio ocultos en el navegador, una técnica que parece potenciar un agresivo sistema de huellas dactilares del dispositivo al tiempo que produce un efecto secundario inesperado en el mundo real: interferir con la conmutación de audio multipunto Bluetooth en los auriculares conectados. El investigador de seguridad Laserphile, utilizando auriculares Bluetooth multipunto que permanecen emparejados simultáneamente con un PC y un teléfono, notó que abrir la página de inicio de AliExpress en Firefox o Chrome cortaría abruptamente la reproducción de audio desde su teléfono.

AliExpress utiliza la API de WebAudio para huellas dactilares de dispositivos. Silenciar la pestaña del navegador, todo el navegador o incluso el audio del sistema de Windows no hizo nada para restaurar la reproducción. Cerrar la pestaña AliExpress solucionó el problema de inmediato, a pesar de que no había vídeo, reproductor de audio ni contenido multimedia visibles en ninguna parte de la página. El comportamiento solo apareció después de que la página hubiera estado inactiva durante varios segundos, lo que provocó una investigación más profunda utilizando JavaScript instrumentado para monitorear la API de audio web directamente.

Según lo detallado por Laserphile, la página web de AliExpress que mantiene activos los auriculares Bluetooth multipunto con la huella digital de WebAudio, la ingeniería inversa del código muy ofuscado reveló un patrón de gráfico de WebAudio: un oscilador de diente de sierra que alimenta un nodo analizador y un procesador de secuencias de comandos, luego a través de un nodo de ganancia establecido en cero antes de llegar al destino. Potencie su Nivel 1 con inteligencia de amenazas de 15K SOC: integre la búsqueda de TI en su SOC La publicación AliExpress utiliza la API de WebAudio y gráficos de audio de ganancia cero para huellas digitales de dispositivos silenciosos apareció por primera vez en Cyber Security News.

Consultar publicación original ↗