TapTrap Android istismarı, kötü amaçlı uygulamaların izinleri atlamasına izin verir


TAPTRAP adlı yeni bir Android güvenlik açığı, kötü amaçlı uygulamaların, herhangi bir özel izin gerektirmeden işletim sisteminin izin sistemini atlamasına izin verir.

Saldırı, kullanıcıları bilmeden hassas izinler vermeye veya yıkıcı eylemler gerçekleştirmeye kandırmak için Android’in kullanıcı arayüzünün temel bir özelliği olan etkinlik geçiş animasyonlarını kullanıyor.

Kötü niyetli kaplamalara dayanan geleneksel musluk saldırılarının aksine, TapTrap, uygulama etkinlikleri arasında geçiş yaparken meydana gelen animasyonları manipüle ederek temelde farklı bir yaklaşım kullanır.

  Taptrap'a genel bakış.
Taptrap’a genel bakış.

Saldırı, kullanıcıların ekranlarında gördükleri ve uygulamanın gerçek durumu arasında bir uyumsuzluk yaratarak normal kullanım sırasında neredeyse tespit edilemez hale getirir.

TAPTRAP saldırısı özellikle ilgilidir, çünkü yürütme izinleri gerektirmez, kötü amaçlı uygulamaların kullanıcılar için tamamen zararsız görünmesini sağlar.

TU Wien’den araştırmacılar, Google Play Store’dan 99.705 uygulamayı analiz ettiler ve bunların% 76,3’ünün bu saldırı yöntemine karşı savunmasız olduğunu buldular.

Saldırı, hassas izin diyaloglarını neredeyse görünmez hale getirmek için son derece düşük opaklık değerlerine (yaklaşık 0.01 alfa) sahip özel etkinlik geçiş animasyonları kullanarak çalışır.

Kullanıcılar kötü amaçlı uygulamanın arayüzü gibi görünen şeylerle etkileşime girdiğinde, aslında gizli sistem iletişim kutularına veya hassas UI öğelerine dokunuyorlar.

6 saniyeye kadar saldırı penceresi sırasında-Android animasyon süresi kısıtlamasında bir tarafa bir hata nedeniyle dütüldü-saldırılar, kullanıcıları kameraya, mikrofona, konum verilerine, kişilere ve bildirimlere erişmek için izin vermek için başarılı bir şekilde kandırabilir.

Saldırı, cihaz yöneticisi ayrıcalıklarını elde etmek için bile yükselebilir ve kullanıcı bilgisi olmadan fabrika sıfırlamaları da dahil olmak üzere tam cihaz kontrolünü sağlar.

Taptrap android istismar

TapTrap’ı özellikle tehlikeli kılan şey, mevcut tüm muslukların geçme yeteneğidir Android’de uygulanan hafifletmeler.

Android hafifletme, musluklamaya karşı.
Android hafifletme, musluklamaya karşı.

İşletim sisteminin yer paylaşımı algılama mekanizmaları, tost kısıtlamaları ve Android 12’de tanıtılan sistem çapında musluklama önleme dahil olmak üzere mevcut savunmaları, bu saldırıya karşı etkisizdir, çünkü spesifik olarak bindirme tabanlı saldırıları hedeflemektedir.

Araştırmacılar, TAPTRAP’ın yalnızca Android sistem bileşenlerini değil, aynı zamanda özel sekmeler aracılığıyla web tarayıcılarına da yayıldığını keşfettiler.

10 popüler mobil tarayıcı analizleri, 8’in izin bypass saldırılarına karşı savunmasız olduğunu, saldırı da X-Frame-Options başlıkları gibi mevcut tarayıcı korumalarına rağmen geleneksel web tıklamasına olanak tanıyor.

20 katılımcı ile yapılan bir kullanıcı çalışmasında, araştırmacılar tüm katılımcıların Bir saldırı olasılığı konusunda açıkça uyarıldıktan sonra bile en az bir saldırı varyantı tespit edin.

Chrome ve Firefox, onEnterAnimationComplete Yöntem, Android 15 Haziran 2025 itibariyle savunmasız kalıyor ve sistem düzeyinde bir düzeltme için zaman çizelgesi sağlanmıyor.

Bilgisiz kullanıcıların sadece% 21’i, saldırının gizli yeteneklerini gösteren kamera erişim bildirimleri gibi güvenlik göstergelerini fark etti.

Güvenlik boşluğu açılmamış kalır

Araştırma ekibi, Ekim 2024’te bulgularını Google’ın Android güvenlik ekibine ve etkileyen tarayıcı satıcılarını sorumlu bir şekilde açıkladı.

Güvenlik açığı iki CVE atandı ve Chrome araştırmacılara keşif için 10.000 dolarlık bir hata ödülünü verdi.

Araştırmacılar, yaklaşık 100.000 uygulama analizleri arasında TAPTRAP’ın vahşi doğada kullanıldığına dair bir kanıt bulamadı, bu da bunun daha önce keşfedilmemiş bir saldırı vektörünü temsil ettiğini gösteriyor.

TAPTRAP’ı azaltmak için araştırmacılar, düşük opasiter animasyonlar sırasında dokunma olaylarını engelleme ve aktivite geçişlerinde zoom faktörlerini sınırlandırma da dahil olmak üzere sistem düzeyinde çözümler öneriyorlar.

Kötüye kullanımı önlerken meşru animasyonlar için 0,2’lik bir opaklık eşiği ve maksimum zoom faktörü% 400 uygulamasını önerirler.

Saldırı, kötü niyetli kaplamalara güvenmek yerine meşru sistem işlevselliğini kullandığından, mevcut yaklaşımları tespit etmeyi ve önlemeyi son derece zorlaştırdığından, keşif Android’in güvenlik modelinde temel bir boşluğu vurgulamaktadır.

Bu hikayeyi ilginç bul! Daha fazla güncelleme almak için bizi LinkedIn ve X’te takip edin.



Source link