Новий метод TapTrap дозволяє зламати Android без дозволів

Фахівці з кібербезпеки повідомили про новий спосіб злому Android, який дозволяє зловмисникам обходити автентифікацію та отримувати доступ до конфіденційної інформації. Новий метод, що отримав назву TapTrap, базується на використанні нестандартних анімацій інтерфейсу – через це те, що бачить користувач, не відповідає реальним діям на екрані.

На відміну від класичних атак типу tapjacking, TapTrap спрацьовує навіть із застосунками, які не потребують жодних додаткових дозволів. Шкідливий софт може відкривати прозорі системні вікна, що виглядають як звичайні елементи інтерфейсу. В результаті користувач упевнений, що натискає безпечні кнопки, тоді як насправді може, наприклад, надати доступ до камери або ініціювати скидання телефону до заводських налаштувань.

Головна ідея атаки – маніпуляція системними анімаціями Android. Зловмисники можуть запускати важливі запити чи налаштування із практично нульовою прозорістю. Як пояснили дослідники, суть TapTrap у тому, що потрібне вікно залишається невидимим завдяки налаштуванню прозорості майже на нульовому рівні (0,01). Окрім того, шахраї можуть збільшувати інтерфейсні елементи – наприклад, розтягнути кнопку підтвердження на весь екран, підвищуючи шанси на помилковий клік.

Новий тип атаки продемонстрували експерти з Віденського технічного університету та Університету Байройта – Філіп Бір (Philipp Beer), Марко Скуарчина (Marco Squarcina) та їхні колеги. Технічні деталі вони вже оприлюднили й планують представити результати на симпозіумі USENIX з безпеки наступного місяця.

За словами дослідників, перевірка близько 100 000 додатків у Google Play показала, що близько 76% із них уразливі до TapTrap. Проблема не зникла навіть у Android 16: Скуарчина протестував атаку на Google Pixel 8a і підтвердив її працездатність. Розробники GrapheneOS, операційної системи з акцентом на безпеку, теж підтвердили наявність вразливості та пообіцяли виправити її найближчим часом.

У Google у коментарі для Bleeping Computer повідомили, що вже працюють над виправленням і готують патч для усунення проблеми, однак точна дата його виходу поки що невідома.