En gruppe sikkerhetsforskere har avdekket en ny Android-angrepsteknikk kalt Android TapTrap-angrepet, som kan lure brukere til å gi sensitive tillatelser eller utføre skadelige handlinger uten at de vet det. I motsetning til tradisjonelle tapjacking-metoder utnytter Android TapTrap hvordan Android håndterer aktivitetsanimasjoner, og gjør farlige systemskjermer nesten usynlige.
Forskerne fra TU Wien og Universitetet i Bayreuth vil presentere funnene sine på det kommende USENIX Security Symposium. Deres publiserte artikkel og dedikerte nettside forklarer de tekniske detaljene og virkelige konsekvenser av dette nye angrepet.
Hvordan Android TapTrap-angrepet fungerer
Android TapTrap-angrepet manipulerer Androids startActivity()-funksjon og tilpassede animasjoner for å skape en visuell mismatch. Slik foregår angrepet:
En ondsinnet app åpner en sensitiv systemskjerm (som en tillatelsesforespørsel) med en gjennomsiktig eller nesten gjennomsiktig animasjon.
Den ekte skjermen som mottar brukerens berøringshendelser, er praktisk talt usynlig.
Brukeren ser den ufarlige appen, men trykker uten å vite det på den skjulte sensitive forespørselen.
Angriperne definerer animasjoner med ekstremt lav opasitet (f.eks. 0,01 alfa-verdi) og kan bruke skalering for å forstørre kritiske knapper som «Tillat» eller «Autoriser,» noe som øker sjansen for at brukeren interagerer med dem.
En demonstrasjonsvideo fra forskerne viser hvordan et tilsynelatende uskyldig spill stille kan aktivere kameratilgang ved å lure brukeren til å trykke på en usynlig prompt.
Hvorfor Android TapTrap-angrepet er effektivt
TapTrap-angrepet krever ingen spesielle tillatelser, noe som betyr at selv apper uten tillatelser kan utføre angrepet. Forskerne testet TapTrap på:
Android 15 (nåværende stabile versjon)
Android 16 (nyeste versjon)
Begge versjoner er fortsatt sårbare. GrapheneOS, en sikkerhetsfokusert Android-fork, har bekreftet sårbarheten og annonsert en løsning i en kommende oppdatering.
Viktige faktorer som gjør Android TapTrap effektivt:
De fleste Android-apper har aktiviteter som oppfyller kravene for angrepet.
Animasjoner er som standard aktivert på Android-enheter.
Brukere deaktiverer vanligvis ikke animasjoner i utvikler- eller tilgjengelighetsinnstillinger.
Hvor utbredt er risikoen for Android TapTrap-angrepet?
Forskergruppen analyserte nesten 100 000 Play Store-apper og fant at 76 % potensielt er sårbare for angrepet. Disse appene:
Tillater eksterne apper å starte sensitive aktiviteter.
Overstyrer ikke standard overgangsanimasjoner.
Utsetter ikke brukerinteraksjon til etter at animasjonene er ferdige.
Dette betyr at brukere av tusenvis av legitime Android-apper kan bli lurt til å gi tillatelser eller utføre farlige handlinger uten å være klar over det.
Bransjens respons på Android TapTrap-angrepet
Google svarte på funnene med:
«Android forbedrer kontinuerlig sine eksisterende mottiltak mot tapjacking-angrep. Vi er kjent med denne forskningen og vil adressere dette i en kommende oppdatering.»
I tillegg har Google Play retningslinjer for å oppdage og handle mot ondsinnede apper som utnytter slike sårbarheter.
GrapheneOS har også annonsert at deres neste programvareutgivelse vil inkludere beskyttelse mot TapTrap-angrepet.
Hvordan brukere kan beskytte seg mot Android TapTrap
Før offisielle mottiltak blir rullet ut, kan brukere redusere risiko ved å:
Deaktivere animasjoner via utvikleralternativer eller tilgjengelighetsinnstillinger.
Være forsiktige med å gi tillatelser til ukjente apper.
Holde enhetene oppdatert med de nyeste sikkerhetsoppdateringene for Android.
Bruke sikkerhetsfokuserte operativsystemer som GrapheneOS når mulig.
Konklusjon
Android TapTrap-angrepet viser behovet for bedre beskyttelse i Android-økosystemet. Ved å utnytte noe så enkelt som UI-animasjoner, kan angripere lure brukere til farlige handlinger uten synlige varsler.
Mens Google og sikkerhetsforskere jobber med løsninger, må både apputviklere og brukere være informerte og årvåkne. Å forhindre slike avanserte angrep krever både tekniske forsvar og økt bevissthet.
0 svar til “Android TapTrap-angrep: Ny usynlig UI-triks truer brukersikkerheten”