Уязвимость, которая была идентифицирована и протестирована в закрытых средах компьютерными специалистами из Технологического института Джорджии, позволит злоумышленникам незаметно получить контроль над мобильным устройством, накладывая на графический интерфейс ложную информацию, чтобы скрыть злонамеренные действия, выполняемые под ним, например как захват паролей или извлечение контактов пользователя. Для успешной атаки пользователю потребуется сначала установить тип вредоносного ПО, которое может быть скрыто в пиратской игре или другом приложении.
Исследователи Технологического института Джорджии раскрыли потенциальную атаку компании Google, производителю системы Android, и подробности уязвимости будут представлены 24 мая на 38-м симпозиуме IEEE по безопасности и конфиденциальности в Сан-Хосе, Калифорния. Но поскольку он включает в себя две общие функции, которыми можно злоупотреблять, даже если они ведут себя должным образом, проблему может быть труднее решить, чем обычные ошибки операционной системы.
«В Cloak and Dagger мы определили две разные функции Android, которые в сочетании позволяют злоумышленнику читать, изменять или захватывать данные, введенные в популярные мобильные приложения», — сказал Венке Ли, профессор Школы компьютерных наук Технологического института Джорджии, и соавторы. директор Института информационной безопасности Конфиденциальность. «Эти две задействованные функции очень полезны в приложениях для сопоставления, чата или менеджера паролей, поэтому для предотвращения их неправомерного использования пользователям потребуется обменять удобство на безопасность. Это настолько опасная атака, которую мы могли бы описать».Исследование спонсировалось Национальным научным фондом (NSF), Управлением военно-морских исследований (ONR) и Агентством перспективных оборонных исследовательских проектов (DARPA).Первая функция разрешений, участвующая в атаке, известная как «BIND_ACCESSIBILITY_SERVICE», поддерживает использование устройств инвалидами, позволяя вводить такие данные, как имя пользователя и пароль, с помощью голосовой команды, и разрешая такие выходные данные, как программа чтения с экрана, чтобы помочь отключен просмотр содержимого.
Второе разрешение, известное как «SYSTEM_ALERT_WINDOW», представляет собой функцию наложения или «рисования сверху», которая создает окно поверх обычного экрана устройства для отображения пузырьков для программы чата или карт для приложения для совместного использования.
При злонамеренном объединении «SYSTEM_ALERT_WINDOW» действует как маскировка, а «BIND_ACCESSIBILITY_SERVICE» служит кинжалом. Эти двое могут позволить злоумышленникам нарисовать окно, заставляющее пользователей поверить в то, что они взаимодействуют с законными функциями приложения. Вредоносная программа, работающая в качестве наложения, затем захватывала учетные данные пользователя для автора вредоносной программы, в то время как разрешение на доступность вводило учетные данные в реальное приложение, скрытое под ним, позволяя ему работать так, как ожидалось, оставляя пользователя без подсказки, что что-то наперекосяк.
Исследователи протестировали имитацию атаки на 20 пользователей мобильных устройств Android и обнаружили, что никто из них не заметил атаки.Исследователей Georgia Tech больше всего беспокоит то, что эти разрешения могут быть автоматически включены в законные приложения из магазина Google Play, а это означает, что пользователям не нужно явно предоставлять разрешения для успеха атаки.
«Это недостаток дизайна, который, по мнению некоторых, позволяет приложению работать так, как задумано, но наше исследование показывает, что им можно злоупотреблять», — сказал Яник Фратантонио, первый автор статьи и доктор технических наук Джорджии. летний стажер из Калифорнийского университета в Санта-Барбаре. «После взлома телефона у пользователя может не быть возможности понять, что произошло».По словам Фратантонио, почти 10 процентов из 5000 лучших приложений Android используют функцию наложения, и многие из них загружаются с включенной функцией специальных возможностей.
Хотя оба разрешения использовались отдельно в качестве атак с исправлением ошибок пользовательского интерфейса и «случайных атак», предыдущие исследования не изучали, что происходит, когда они объединяются, отметил Саймон П. Чанг, научный сотрудник Школы компьютерных наук Технологического института Джорджии и один из соавторы исследования.По словам Фратантонио, создание уязвимостей при объединении разрешений может стать реальностью, к которой разработчики систем должны будут относиться более серьезно в будущем. «Изменение функции — это не исправление ошибки», — пояснил он. «Разработчикам систем теперь придется больше думать о том, как могут взаимодействовать, казалось бы, несвязанные функции. Функции не работают отдельно на устройстве».
Версии Android до 7.1.2 включительно уязвимы для этой атаки. Исследователи предупреждают, что может быть сложно определить статус настроек, необходимых для атаки.Ли и Фратантонио соглашаются, что есть две основные меры предосторожности.
Один из них — избегать загрузки приложений от поставщиков, отличных от фирменных торговых точек, таких как магазин Google Play. Второй шаг — проверить запросы разрешений, которые делают приложения, прежде чем разрешить им работать.«Пользователи должны быть осторожны с разрешениями, запрашиваемыми новыми приложениями», — сказал Ли. «Если есть очень широкие разрешения или разрешения не соответствуют тому, что приложение обещает делать, вы должны быть уверены, что вам действительно нужно это приложение».
Исследователи создали видео, в котором показана атака и то, как проверить эти разрешения, которые находятся в разных местах в зависимости от версии мобильной операционной системы.«Приложения из известных брендов, таких как Facebook, Uber и Skype, должны быть в порядке», — сказал Ли. «Но со случайной игрой или бесплатными версиями платных приложений, которые вы можете скачать, вы должны быть очень осторожны. Эти функции очень мощные, и ими можно злоупотреблять, чтобы делать все, что вы могли бы делать как пользователь — без вашего ведома».
Помимо уже упомянутых исследователей, в проект также входил Чэньсюн Цянь из Технологического института Джорджии.Это исследование было поддержано грантами NSF CNS-1017265, CNS-0831300, CNS-1149051 и DGE-1500084, ONR в рамках грантов N000140911042 и N000141512162, а также программой DARPA Transparent Computing по контракту DARPA-15-15-TC- FP-006. Любые мнения, выводы, выводы или рекомендации, выраженные в этом материале, принадлежат авторам и не обязательно отражают точку зрения NSF, ONR или DARPA.
Образец цитирования: Яник Фратантонио и др., «Cloak and Dagger: от двух разрешений до полного контроля цикла обратной связи пользовательского интерфейса» (38-й симпозиум IEEE по безопасности и конфиденциальности, 2017 г.).