• IT-Karriere:
  • Services:

Android-Apps: Rechtemissbrauch ermöglicht unsichtbare Tastaturmitschnitte

Zwei Funktionen für Android-Apps können einfach missbraucht werden, um Nutzereingaben mitzulesen oder sogar weitere bösartige Apps zu installieren - ohne Wissen oder Zutun des Anwenders. Google hat bereits reagiert.

Artikel veröffentlicht am ,
Über ein unsichtbares Overlay können Tastatureingaben unter Android abgefangen werden.
Über ein unsichtbares Overlay können Tastatureingaben unter Android abgefangen werden. (Bild: Yanick Fratantonio)

Unter dem Namen Cloak & Dagger beschreiben Forscher zwei Angriffe auf fast alle Android-Versionen. Sie erlauben nicht nur das Mitlesen von Tastatureingaben, sondern auch Eingaben zu machen, ohne dass der Anwender es bemerkt. Die Angriffe erfolgen über gängige Funktionen, auf deren Zugriff alle Apps die entsprechenden Rechte haben. Google hat mittlerweile reagiert und verhindert die Aufnahme von Apps in Googles Play Store, die diese Funktionen nutzen. In der bevorstehenden Version O von Android sollen die Schwachstellen behoben werden.

Stellenmarkt
  1. KfW Bankengruppe, Frankfurt am Main
  2. ARIBYTE GmbH, Berlin

Sämtliche Apps besitzen die Rechte SYSTEM_ALERT_WINDOW - auch "draw on top" genannt. Damit können Apps unsichtbare Overlays über die Benutzeroberfläche legen und so etwa Warnmeldungen verstecken. Über ein unsichtbares Overlay können auch Tastatureingaben abgefangen werden, ohne dass der Anwender etwas bemerkt. Damit könnten Angreifer zum Beispiel auch Passwort-Eingaben mitschneiden.

BIND_ACCESSIBILITY_SERVICE beziehungsweise auch "a11y" erlaubt hingegen die verdeckte Eingabe von Tastaturbefehlen ohne Zutun des Anwenders. Damit ließen sich auch PINs auslesen und auch bei ausgeschaltetem Bildschirm wieder eingeben. Ferner könnten Angreifer auch Tokens für die Zwei-Faktor-Authentifizierung abfangen.

Kombiniert noch weitaus gefährlicher

In Kombination ist der Missbrauch der Rechte noch gefährlicher. Eine entsprechend programmierte App könnte sich so zunächst über SYSTEM_ALERT_WINDOW den Zugriff auf den BIND_ACCESSIBILITY_SERVICE verschaffen und anschließend wieder ohne Zutun des Anwenders weitere Rechte erlangen, etwa für die Installation einer weiteren App, die nochmals erhöhte Rechte bereitstellt. Sie hätten sich so Zugriff auf die gesamte Benutzeroberfläche verschafft, schreiben die Forscher der Universitäten in UC Santa Barbara und Georgia Tech in den USA. In den Tests seien sich keine Anwender über den Zugriff bewusst gewesen.

Dem Online-Magazin The Register sagte ein Google-Sprecher, man habe die Richtlinien des Play Stores so geändert, dass Apps, die diese Sicherheitslücken missbrauchen, nicht mehr installiert werden können. Außerdem sei die nächste Android-Version O bereits gegen solche Angriffe gewappnet. Ansonsten gilt die übliche Binsenweisheit: Obacht bei der Installation unbekannter oder gar dubioser Apps.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Anzeige
Spiele-Angebote
  1. (-15%) 12,67€
  2. 33,99€
  3. 3,99€
  4. 12,99€

notnagel 05. Jun 2017

Ich kann mir kaum vorstellen, daß mein S4 oder das S3 Mini mit den offiziellen Android...

User_x 29. Mai 2017

ein Handy ist aber kein Auto und wäre das so, dann hat der Hersteller nicht die Fenster...

Nikolai 29. Mai 2017

Das ist ein Teil der Accessibility-Funktionen. Braucht man um z.B. speziell für Blinde...

Myxier 29. Mai 2017

+1

FreiGeistler 29. Mai 2017

Also nicht wahllos Apps aus dem Play Store ;-)


Folgen Sie uns
       


Macbook Pro 16 Zoll - Test

Das Macbook Pro 16 stellt sich in unserem Test als eine echte Verbesserung dar. Das liegt auch daran, dass Apple einen Schritt zurückgeht, das Butterfly-Keyboard fallenlässt und die physische Escape-Taste zurückbringt.

Macbook Pro 16 Zoll - Test Video aufrufen
Nitropad im Test: Ein sicherer Laptop, der im Alltag kaum nervt
Nitropad im Test
Ein sicherer Laptop, der im Alltag kaum nervt

Das Nitropad schützt vor Bios-Rootkits oder Evil-Maid-Angriffen. Dazu setzt es auf die freie Firmware Coreboot, die mit einem Nitrokey überprüft wird. Das ist im Alltag erstaunlich einfach, nur Updates werden etwas aufwendiger.
Ein Praxistest von Moritz Tremmel und Sebastian Grüner

  1. Nitropad X230 Nitrokey veröffentlicht abgesicherten Laptop
  2. LVFS Coreboot-Updates sollen nutzerfreundlich werden
  3. Linux-Laptop System 76 verkauft zwei Laptops mit Coreboot

Alphakanal: Gimp verrät Geheimnisse in Bildern
Alphakanal
Gimp verrät Geheimnisse in Bildern

Wer in Gimp in einem Bild mit Transparenz Bildbereiche löscht, der macht sie nur durchsichtig. Dieses wenig intuitive Verhalten kann dazu führen, dass Nutzer ungewollt Geheimnisse preisgeben.


    Threadripper 3990X im Test: AMDs 64-kerniger Hammer
    Threadripper 3990X im Test
    AMDs 64-kerniger Hammer

    Für 4.000 Euro ist der Ryzen Threadripper 3990X ein Spezialwerkzeug: Die 64-kernige CPU eignet sich exzellent für Rendering oder Video-Encoding, zumindest bei genügend RAM - wir benötigten teils 128 GByte.
    Ein Test von Marc Sauter und Sebastian Grüner

    1. Ryzen Mobile 4000 (Renoir) Lasst die Ära der schrottigen AMD-Notebooks enden!
    2. HEDT-Prozessor 64-kerniger Threadripper schlägt 20.000-Dollar-Xeons
    3. Ryzen Mobile 4000 AMDs Renoir hat acht 7-nm-Kerne für Ultrabooks

      •  /