TapTrap: новая атака на Android с обходом системы разрешений

TapTrap: новая атака на Android с обходом системы разрешений

TapTrap: новая атака на Android с обходом системы разрешений

Исследователи из TU Wien и Университета Байройта придумали, как обойти систему разрешений Android — без рут-прав. Новый метод называется TapTrap и в отличие от классического tapjacking через наложения он использует прозрачные анимации, встроенные в саму систему Android.

Да-да, вы всё ещё можете думать, что нажимаете кнопку в любимом приложении, а на деле — даёте доступ к камере, геолокации или даже стираете данные на телефоне.

Как работает TapTrap

Суть атаки — в обмане пользователя с помощью прозрачных анимаций при запуске системных экранов. Вредоносное приложение запускает другую активность (например, системное окно с разрешением) с почти полностью прозрачной анимацией. А вы видите под ней обычный интерфейс — игру, чат, картинку… Но по факту нажимаете на невидимую кнопку «Разрешить».

Исследователи назвали (PDF) ключом к атаке анимацию, у которой и начальное, и конечное значение прозрачности (alpha) установлено, например, на 0.01. Иногда добавляется масштабирование, чтобы сделать нужную кнопку «весомее» — и увеличить шанс, что вы в неё попадёте.

 

Уязвимы 76% приложений

Команда изучила почти 100 тысяч приложений из Google Play и выяснила: 76% из них можно использовать в TapTrap-атаке. Главное, чтобы приложение:

  • запускало внешние активности;
  • не отменяло стандартные анимации перехода;
  • не ждало завершения анимации, прежде чем начать реагировать на нажатия.

Иными словами, всё работает по умолчанию — и на Android 15, и на свежем Android 16. Проверяли на Pixel 8a — уязвимость на месте.

Пока не исправлено, но обещают

Google уже в курсе. Представители компании пообещали устранить проблему в будущих обновлениях и напомнили, что Google Play следит за политиками безопасности приложений. А вот разработчики GrapheneOS — альтернативной защищённой версии Android — уже готовят исправление в следующем релизе.

ФСБ РФ закрыла белые списки для Сбера и других банков, не внедривших СОРМ

ФСБ России наложила вето на включение в белые списки рунета ресурсы банков, не установивших СОРМ. По этой причине профильные приложения Сбербанка, Т-Банка, Газпромбанка в этом перечне пока отсутствуют.

В минувшем октябре ФСБ известила игроков финансового рынка о новом требовании — установить СОРМ до 2027 года. В обоснование спецслужба указала, что на банки распространяется статус ОРИ, так как у них имеются сервисы обмена сообщениями (с той же техподдержкой, к примеру).

Насколько известно, Сбер, Т-Банк, Газпромбанк, Райффайзенбанк, Совкомбанк, «Уралсиб» и другие крупные кредитно-финансовые организации пока не отреагировали на это предписание. По всей видимости, они боятся, что установка СОРМ отпугнет клиентов и те уйдут к конкурентам; в телеком-индустрии такого последствия пока не наблюдается.

Примечательно, что «Сбермобайл» и «Т-Мобайл» в белом списке ресурсов числятся. В ответ на запрос СМИ о комментарии представитель Минцифры РФ пояснил, что сервисы вносятся в белый список после согласования с заинтересованными ведомствами и органами, отвечающими за обеспечение безопасности, в том числе с ФСБ.

Поскольку требования по СОРМ применяются не к банковским группам, а к конкретным юрлицам, множественные сервисы, ассоциируемые с одной и той же группой, могут находиться в разной стадии согласования.

Напомним, в целях противодействия мошенничеству с января текущего года срок обязательного хранения данных о переписке и пользователях в СОРМ был увеличен для ОРИ до трех лет. За нарушение требований предусмотрены штрафы до 6 млн руб. и другие меры воздействия — вплоть до блокировки ресурсов.

RSS: Новости на портале Anti-Malware.ru