Специалисты по кибербезопасности сообщили о новом способе взлома Android, который позволяет злоумышленникам обходить аутентификацию и получать доступ к конфиденциальной информации. Новый метод, получивший название TapTrap, базируется на использовании нестандартных анимаций интерфейса – из-за этого то, что видит пользователь, не соответствует реальным действиям на экране.
В отличие от классических атак типа tapjacking, TapTrap срабатывает даже с приложениями, которые не требуют каких-либо дополнительных разрешений. Вредоносный софт может открывать прозрачные системные окна, выглядящие как обычные элементы интерфейса. В результате пользователь уверен, что нажимает безопасные кнопки, тогда как на самом деле может, например, предоставить доступ к камере или инициировать сброс телефона до заводских настроек.
Главная идея атаки-манипуляция системными анимациями Android. Злоумышленники могут запускать важные запросы или настройки практически с нулевой прозрачностью. Как объяснили исследователи, суть TapTrap в том, что нужное окно остается невидимым благодаря настройке прозрачности почти на нулевом уровне (0,01). Кроме того, мошенники могут увеличивать интерфейсные элементы – например, растянуть кнопку подтверждения на весь экран, повышая шансы на ложный клик.
Новый тип атаки продемонстрировали эксперты из Венского технического университета и Университета Байройта-Филипп Бир (Philipp Beer), Марко Скуарчина (Marco Squarcina) и их коллеги. Технические детали они уже обнародовали и планируют представить результаты на симпозиуме USENIX по безопасности в следующем месяце.
По словам исследователей, проверка около 100 000 приложений в Google Play показала, что около 76% из них уязвимы для TapTrap. Проблема не исчезла даже в Android 16: Скуарчина протестировал атаку на Google Pixel 8A и подтвердил ее работоспособность. Разработчики GrapheneOS, операционной системы с акцентом на безопасность, тоже подтвердили наличие уязвимости и пообещали исправить ее в ближайшее время.
В Google в комментарии для Bleeping Computer сообщили, что уже работают над исправлением и готовят патч для устранения проблемы, однако точная дата его выхода пока неизвестна.