TapTrap: nový neviditelný útok na Android
Nově objevená hackerská metoda zneužívá „neviditelnou“ aplikaci. Nenápadně se na vašem zařízení s Androidem dostane do popředí a odchytává vaši interakci. V branži je známá pod pojmem TapTrap. Upozornil na ni tým bezpečnostních expertů z Technické univerzity Vídeň a Univerzity v Bayreuthu.
Aplikace dokáže zachytávat vaše klepání na displej a zneužívat je k nekalým účelům. Výzkumníci zjistili, že TapTrap může číst data, získávat neoprávněný souhlas uživatele nebo dokonce mazat data v zařízení. Pro uživatele je tento útok téměř neodhalitelný – často si ho všimnou až ve chvíli, kdy je už pozdě.
Mohlo by vás zajímat
Neviditelná past, která ovládne váš telefon bez vašeho vědomí
TapTrap využívá vlastnosti mobilního systému, která umožňuje současný běh více aplikací najednou. Běžně věnujeme pozornost pouze aplikaci, která je právě viditelná v popředí. Právě ta reaguje na naše dotyky na obrazovce – alespoň si to myslíme.
Ve skutečnosti však škodlivá aplikace může nenápadně spustit jinou aplikaci a zobrazit ji průhledně. Tím pádem je sice pro uživatele neviditelná, ale ve skutečnosti běží v popředí a odchytává dotyky na displej.
TapTrap tedy využívá animace při přechodu mezi aplikacemi, například pomalé blednutí nebo zasouvání obrazovek, a zneužívá je k tomu, aby se škodlivá aplikace dostala bez povšimnutí do popředí.
Mohlo by vás zajímat
Uživatel se pak domnívá, že používá běžnou aplikaci, ale ve skutečnosti ovládá zcela jinou, která může například požadovat citlivá oprávnění nebo spustit nebezpečné akce.
Takto lze získat přístup k fotoaparátu telefonu, spustit bankovní aplikaci nebo smazat všechna data v zařízení. Dokonce i v běžných případech, kdy systém zobrazuje okno s dotazem na souhlas, může být překryto neviditelnou podvodnou aplikací.
Experiment prostřednictvím hry a zranitelnost aplikací
Výzkumníci otestovali tento útok pomocí jednoduché hry, ve které sbíráte body klikáním na brouky na obrazovce. Hra však ve skutečnosti otevřela jinou aplikaci – v experimentu internetový prohlížeč. Uživatel měl stále pocit, že se pohybuje v prostředí hry, ale ve skutečnosti již ovládal jinou aplikaci.
Testování na dvaceti osobách prokázalo, že tímto způsobem lze zcela nepozorovaně získat různá oprávnění, například přístup k fotoaparátu.
Mohlo by vás zajímat
Výsledky analýzy téměř 100 000 aplikací z Google Play jsou alarmující: 76 % je vůči TapTrap zranitelných. Většina aplikací splňuje podmínky pro úspěšné vedení tohoto typu útoku. Pozitivní na celé věci je, že zatím nebyly nalezeny žádné aplikace, které by tuto zranitelnost reálně zneužívaly.
Výzkumníci již informovali vývojový tým Androidu. Mozilla a Google už ve svých prohlížečích Firefox a Chrome tuto chybu již opravili. Problém byl také vyřešen v systému GrapheneOS, který je primárně zaměřený na bezpečnost.
Jak se chránit?
Riziko útoku metodou TapTrap lze dodržováním několika zásad:
-
1
Neinstalujte aplikace z nedůvěryhodných zdrojů.
-
2
Pozorně sledujte symboly v horní liště, které signalizují přístup aplikace k fotoaparátu nebo mikrofonu.
-
3
V nastavení zařízení v sekci Přístupnost a položce Barva a pohyb lze deaktivovat všechny animace aplikací, což snižuje šanci, že se škodlivá aplikace nenápadně dostane do popředí.
TapTrap je důmyslný hackerský trik, který ukazuje, jak lze zneužít běžné funkce Androidu k neviditelnému útoku na uživatele. Pozitivní pro nás je, že byl demonstrován bezpečnostními experty, nikoliv kyberškůdci. Přesto je alarmujícím příkladem metody, kterou lze snadno obejít zabezpečení Androidu a oklamat nic netušící uživatele.
Přestože zatím nebyly zaznamenány případy jeho zneužití v praxi, je důležité, abyste věnovali zvýšenou pozornost bezpečnosti svých zařízení a aplikací – což samozřejmě platí i pro jejich poskytovatele i vývojáře.
Zdroj: Scinexx, Tom's Guide, YouTube
5 foto
video
