Det, vi hos XDA engang forestillede os som et proof of concept sikkerhedssårbarhed, er nu blevet bekræftet af dataloger ved Georgia Institute of Technology i Atlanta. Holdet fortæller, hvad de kalder "kappe og dolk" udnyttelser, som kan overtage brugergrænsefladen for de fleste versioner af Android (inklusive 7.1.2). I betragtning af dets natur er det svært at rette og også svært at opdage.
Cloak and Dagger er en udnyttelse, der udnytter to tilladelser for at tage kontrol over brugergrænsefladen uden at give brugeren en chance for at bemærke den ondsindede aktivitet. Angrebet bruger to tilladelser: SYSTEM_ALERT_WINDOW ("tegne ovenpå") og BIND_ACCESSIBILITY_SERVICE ("om 11 år"), der er meget almindeligt brugt i Android-apps.
Vi har skitserede dette tidligere, men det, der gør denne sårbarhed så akut, er det faktum, at applikationer, der anmoder om SYSTEM_ALERT_WINDOW, automatisk får denne tilladelse, når de installeres via Google Play Butik. Hvad angår aktivering af en tilgængelighedstjeneste, er en ondsindet applikation i stand til ganske let socialt at udvikle en bruger til at give den. Den ondsindede applikation kan endda konfigureres til at bruge en tilgængelighedstjeneste til et semi-legitime formål, såsom overvågning af, hvornår visse applikationer er åbne for at ændre visse indstillinger.
Når først disse to tilladelser er blevet givet, er antallet af angreb, der kan forekomme, talrige. Stjæling af PIN-koder, to-faktor autentificeringstokens, adgangskoder eller endda lammelsesangreb er alle mulige. Dette er takket være kombinationen af overlejringer for at narre brugeren til at tro, at de interagerer med en legitim app og tilgængelighedstjenesten, der bruges til at opsnappe tekst- og berøringsinput (eller videresende sin egen input).
Vi teoretiserede en sådan sårbarhed for et par måneder siden, hvor vi ville skabe en proof-of-concept-applikation, der bruger SYSTEM_ALERT_WINDOW og BIND_ACCESSIBILITY_SERVICE for at tegne en overlejring over adgangskodeindtastningsskærmen i XDA Labs-appen og opsnappe nøgleinput for at stryge adgangskoder. Denne applikation, vi forestillede os, ville være en applikation til styring af automatisk rotation, som ville bruge et overlay med det formål at tegne en usynlig boks på skærmen for at kontrolrotation (i stedet for at anmode om WRITE_SETTINGS, hvilket ville hæve flag) og en tilgængelighedstjeneste, der giver brugeren mulighed for at kontrollere automatisk roterende profiler på en app pr. basis. I teorien ville dette være et eksempel på en applikation, der bruger "kappe-og-dolk." Men ingen blandt vores team var villige til at risikere deres udviklerkonti ved at udfordre Googles automatiserede app-scanningssystemer for at se, om vores proof-of-concept udnyttelse ville være tilladt på Play Butik.
Under alle omstændigheder gjorde disse forskere arbejdet og indsendte testansøgninger for at bevise, at brugen af disse to tilladelser faktisk kan være et stort sikkerhedsproblem:
Som du kan se, er angrebene usynlige for brugerne og tillader fuld kontrol over enheden. I øjeblikket er alle versioner af Android fra Android 5.1.1 til Android 7.1.2 sårbare over for dette udnytte, givet det faktum, at det udnytter to tilladelser, der ellers bruges til helt legitime formål.
Forvent ikke, at en sand løsning på dette problem kommer til din enhed snart, selvom det skal bemærkes, at ændringer foretaget i SYSTEM_ALERT_WINDOW i Android O vil delvist afhjælpe denne fejl ved at forbyde ondsindede apps fra helt at tegne over hele skærmen. Desuden advarer Android O nu med via notifikation, hvis en applikation aktivt tegner en overlay. Med disse to ændringer er det mindre sandsynligt, at et ondsindet program kan slippe af sted med udnyttelsen hvis brugeren er opmærksom.
Hvordan beskytter du dig selv på versioner før Android O? Installer som altid kun apps, du har tillid til, fra kilder, du har tillid til. Sørg for, at de tilladelser, de anmoder om, stemmer overens med det, du forventer.
Hvad angår de hundredvis af millioner af almindelige brugere derude, ifølge en Google-talsmand Play Butik Protect vil også give nødvendige rettelser for at forhindre kappe- og dolkangrebene. Hvordan det præcist vil opnå dette er uklart, men forhåbentlig involverer det en eller anden måde at opdage, hvornår disse to tilladelser bliver brugt ondsindet. Jeg tvivler dog på, at det ville være i stand til at opdage alle sådanne tilfælde, så under alle omstændigheder er det bedst for dig at overvåge, hvilke tilladelser der gives til hver applikation, du installerer.