Cloak and Dagger Android Exploit: varastaa salasanan ja kirjaa näppäinpainallukset

Georgia Institute of Technologyn ja Santa Barbaran Kalifornian yliopiston tutkijat ovat julkaisseet raportin, jossa kerrotaan useista Android Lollipop-, Marshmallow- ja Nougat-käyttöjärjestelmistä löytyneistä haavoittuvuuksista.

Tutkijoiden mukaan haitallisilla sovelluksilla on kyky hyödyntää kahta Play Kaupan lupaa – ”piirtää päälle” ja ”esteettömyyspalvelua”.

Käyttäjiä voidaan hyökätä käyttämällä jompaakumpaa näistä haavoittuvuuksista tai molemmista. Hyökkääjä voi napsauttaa, tallentaa näppäinpainalluksia, varastaa laitteen PIN-koodin, lisätä laitteeseen mainosohjelmia ja myös höyryttää kaksivaiheisia todennustunnuksia.

Lue myös: 5 vinkkiä, joilla voit estää Android-laitettasi joutumasta kiristysohjelmiin.

”Cloak & Dagger on uusi luokka mahdollisia hyökkäyksiä, jotka vaikuttavat Android-laitteisiin. Nämä hyökkäykset antavat haitallisen sovelluksen hallita käyttöliittymän palautesilmukkaa kokonaan ja ottaa laitteen haltuunsa antamatta käyttäjälle mahdollisuutta havaita haitallista toimintaa”, tutkijat huomauttavat.

Tämä haavoittuvuus oli myös paljastettu aiemmin

Aiemmin tässä kuussa olimme raportoineet samanlaisesta korjaamattomasta haavoittuvuudesta Android-käyttöjärjestelmässä, joka käyttäisi ”System_Alert_Window” -oikeutta, jota käytetään ”piirtää päälle”.

Aiemmin tämä käyttöoikeus – System_Alert_Window – käyttäjän oli myönnettävä manuaalisesti, mutta Facebook Messengerin ja muiden näytöllä näkyviä ponnahdusikkunoita käyttävien sovellusten tultua käyttöön Google myöntää sen oletuksena.

Vaikka haavoittuvuus voi, jos sitä käytetään hyväksi, johtaa täysimittaiseen kiristys- tai mainosohjelmahyökkäykseen, hakkerin ei ole helppoa aloittaa sitä.

Tämä lupa on vastuussa 74 prosentista kiristysohjelmista, 57 prosentista mainosohjelmista ja 14 prosentista pankkiirien haittaohjelmien hyökkäyksistä Android-laitteisiin.

Kaikki Play Kaupasta lataamasi sovellukset tarkistetaan haitallisten koodien ja makrojen varalta. Joten hyökkääjän täytyy kiertää Googlen sisäänrakennettu turvajärjestelmä päästäkseen sovelluskauppaan.

Google päivitti äskettäin myös mobiilikäyttöjärjestelmäänsä ylimääräisellä suojauskerroksella, joka skannaa kaikki sovellukset, jotka ladataan laitteelle Play Kaupan kautta.

Onko Androidin käyttö turvallista juuri nyt?

Play Kaupasta ladatut haitalliset sovellukset saavat automaattisesti kaksi edellä mainittua käyttöoikeutta, minkä ansiosta hyökkääjä voi vahingoittaa laitettasi seuraavilla tavoilla:

• Invisible Grid Attack: Hyökkääjä piirtää näkymättömän peitteen laitteelle, jolloin hän voi kirjata näppäinpainallukset.
• Varastaa laitteen PIN-koodin ja käyttää sitä taustalla, vaikka näyttö olisi pois päältä.
• Mainosohjelmien ruiskuttaminen laitteeseen.
• Selaa verkkoa ja tietojenkalastelu salaa.

Tutkijat ottivat yhteyttä Googleen löydetyistä haavoittuvuuksista ja ovat vahvistaneet, että vaikka yritys on toteuttanut korjauksia, ne eivät ole idioottivarmoja.

Päivitys poistaa peittokuvat käytöstä, mikä estää näkymättömän ruudukon hyökkäyksen, mutta Clickjacking on edelleen mahdollista, koska haitallinen sovellus voi avata nämä luvat puhelimen lukituksen avausmenetelmällä, vaikka näyttö olisi sammutettu.

Google-näppäimistö on myös saanut päivityksen, joka ei estä näppäinpainallusten kirjaamista, mutta varmistaa, että salasanat eivät vuoda, koska aina kun syötetään arvoa salasanakenttään, nyt näppäimistö kirjaa salasanat ”pisteenä” varsinaisen merkin sijaan.

Mutta myös tämä on olemassa keino, jota hyökkääjät voivat hyödyntää.

”Koska on mahdollista luetella pseudoainutlaatuisiksi suunnitellut widgetit ja niiden hashkoodit, hashkoodit riittävät määrittämään, minkä näppäimistön painiketta käyttäjä todella napsautti”, tutkijat huomauttivat.

Lue myös: 13 hienoa tulevaa Android-ominaisuutta, jotka Google on paljastanut.

Kaikki tutkimuksen löytämät haavoittuvuudet ovat edelleen alttiita hyökkäykselle, vaikka Androidin uusin versio sai tietoturvakorjauksen 5. toukokuuta.

Tutkijat lähettivät Google Play Kauppaan sovelluksen, joka edellytti kahta edellä mainittua lupaa ja osoitti selvästi haitallista tarkoitusta, mutta se hyväksyttiin ja on edelleen saatavilla Play Kaupassa. Tämä osoittaa, että Play Kaupan suojaus ei todellakaan toimi niin hyvin.

Mikä on paras tapa pysyä turvassa?

Paras vaihtoehto on tarkistaa ja poistaa käytöstä molemmat luvat manuaalisesti mille tahansa epäluotettavalle sovellukselle, jolla on pääsy jompaankumpaan tai molempiin.

Näin voit tarkistaa, millä sovelluksilla on pääsy näihin kahteen laitteesi ”erityiskäyttöoikeuteen”.

• Android Nougat: ”piirrä päälle” – Asetukset –> Sovellukset –> Hammassymboli (oikeassa yläkulmassa) –> Erikoiskäyttö –> Piirrä muiden sovellusten päälle’a11y’: Asetukset –> Esteettömyys –> Palvelut: tarkista, mitkä sovellukset vaativat a11y.
• Android Marshmallow: ”piirrä päälle” – Asetukset -> Sovellukset -> ”Ratassymboli” (oikeassa yläkulmassa) -> Piirrä muiden sovellusten päälle.a11y: Asetukset → Esteettömyys → Palvelut: tarkista, mitkä sovellukset vaativat a11y.
• Android Lollipop:”piirrä päälle” – Asetukset -> Sovellukset -> napsauta yksittäistä sovellusta ja etsi ”piirrä muiden sovellusten päälle” a11y: Asetukset -> Esteettömyys -> Palvelut: tarkista, mitkä sovellukset vaativat a11y.

Google tarjoaa lisää tietoturvapäivityksiä ratkaistakseen tutkijoiden löytämät ongelmat.

Lue myös: Näin voit poistaa kiristysohjelmat puhelimestasi.

Vaikka useat näistä haavoittuvuuksista korjataan seuraavilla päivityksillä, ”piirtää päälle” -lupaan liittyvät ongelmat pysyvät voimassa Android O:n julkaisuun saakka.

Internetin tietoturvariskit kasvavat valtavasti, ja tällä hetkellä ainoa tapa suojata laitettasi on asentaa luotettava virustorjuntaohjelmisto ja olla valppaana.