Исследователи из Технического университета Граца обнаружили уязвимости в механизмах уведомлений о файловых операциях в ОС Android, Linux, macOS и Windows. Системы inotify, FileObserver, ReadDirectoryChangesW и FSEvents сообщают об открытии, изменении или удалении файлов, что позволяет отслеживать действия пользователей без прав на чтение самих данных.
Полученная информация о событиях используется для атак по сторонним каналам. Анализ интервалов между нажатиями клавиш позволил перехватывать ввод локально и через SSH с точностью до 100%. Также возможна идентификация посещаемых сайтов с точностью 87,9% и кража учетных данных через подмену интерфейса.
В Linux мониторинг директории /dev/input позволяет отслеживать нажатия клавиш. Уязвимость CVE-2025-68788 была частично устранена в декабре 2025 года для ряда версий ядра Linux. В Android механизм FileObserver обходит изоляцию FUSE, позволяя приложениям без разрешений отслеживать активность в закрытых папках, включая WhatsApp.
В Windows мониторинг корневого каталога C:\ дает доступ к путям файлов, к которым обращаются другие пользователи. Исследователи отследили историю посещений в Firefox с точностью 97,8%. Microsoft назвала это недокументированной архитектурной функцией. В macOS подсистема FSEvents позволяет отслеживать изменения настроек питания, DNS и подключение устройств.
