Abo
  • IT-Karriere:

Android-Apps: Rechtemissbrauch ermöglicht unsichtbare Tastaturmitschnitte

Zwei Funktionen für Android-Apps können einfach missbraucht werden, um Nutzereingaben mitzulesen oder sogar weitere bösartige Apps zu installieren - ohne Wissen oder Zutun des Anwenders. Google hat bereits reagiert.

Artikel veröffentlicht am ,
Über ein unsichtbares Overlay können Tastatureingaben unter Android abgefangen werden.
Über ein unsichtbares Overlay können Tastatureingaben unter Android abgefangen werden. (Bild: Yanick Fratantonio)

Unter dem Namen Cloak & Dagger beschreiben Forscher zwei Angriffe auf fast alle Android-Versionen. Sie erlauben nicht nur das Mitlesen von Tastatureingaben, sondern auch Eingaben zu machen, ohne dass der Anwender es bemerkt. Die Angriffe erfolgen über gängige Funktionen, auf deren Zugriff alle Apps die entsprechenden Rechte haben. Google hat mittlerweile reagiert und verhindert die Aufnahme von Apps in Googles Play Store, die diese Funktionen nutzen. In der bevorstehenden Version O von Android sollen die Schwachstellen behoben werden.

Stellenmarkt
  1. Technische Universität Darmstadt, Darmstadt
  2. EnBW Energie Baden-Württemberg AG, Karlsruhe

Sämtliche Apps besitzen die Rechte SYSTEM_ALERT_WINDOW - auch "draw on top" genannt. Damit können Apps unsichtbare Overlays über die Benutzeroberfläche legen und so etwa Warnmeldungen verstecken. Über ein unsichtbares Overlay können auch Tastatureingaben abgefangen werden, ohne dass der Anwender etwas bemerkt. Damit könnten Angreifer zum Beispiel auch Passwort-Eingaben mitschneiden.

BIND_ACCESSIBILITY_SERVICE beziehungsweise auch "a11y" erlaubt hingegen die verdeckte Eingabe von Tastaturbefehlen ohne Zutun des Anwenders. Damit ließen sich auch PINs auslesen und auch bei ausgeschaltetem Bildschirm wieder eingeben. Ferner könnten Angreifer auch Tokens für die Zwei-Faktor-Authentifizierung abfangen.

Kombiniert noch weitaus gefährlicher

In Kombination ist der Missbrauch der Rechte noch gefährlicher. Eine entsprechend programmierte App könnte sich so zunächst über SYSTEM_ALERT_WINDOW den Zugriff auf den BIND_ACCESSIBILITY_SERVICE verschaffen und anschließend wieder ohne Zutun des Anwenders weitere Rechte erlangen, etwa für die Installation einer weiteren App, die nochmals erhöhte Rechte bereitstellt. Sie hätten sich so Zugriff auf die gesamte Benutzeroberfläche verschafft, schreiben die Forscher der Universitäten in UC Santa Barbara und Georgia Tech in den USA. In den Tests seien sich keine Anwender über den Zugriff bewusst gewesen.

Dem Online-Magazin The Register sagte ein Google-Sprecher, man habe die Richtlinien des Play Stores so geändert, dass Apps, die diese Sicherheitslücken missbrauchen, nicht mehr installiert werden können. Außerdem sei die nächste Android-Version O bereits gegen solche Angriffe gewappnet. Ansonsten gilt die übliche Binsenweisheit: Obacht bei der Installation unbekannter oder gar dubioser Apps.



Anzeige
Spiele-Angebote
  1. 59,99€ für PC/69,99€ für PS4, Xbox (Release am 4. Oktober)
  2. 2,49€
  3. 7,99€
  4. 0,00€

notnagel 05. Jun 2017

Ich kann mir kaum vorstellen, daß mein S4 oder das S3 Mini mit den offiziellen Android...

User_x 29. Mai 2017

ein Handy ist aber kein Auto und wäre das so, dann hat der Hersteller nicht die Fenster...

Nikolai 29. Mai 2017

Das ist ein Teil der Accessibility-Funktionen. Braucht man um z.B. speziell für Blinde...

Myxier 29. Mai 2017

+1

FreiGeistler 29. Mai 2017

Also nicht wahllos Apps aus dem Play Store ;-)


Folgen Sie uns
       


Festo Bionic Softhand und Softarm angesehen

Die Bionic Softhand ist ein robotischer Greifer, der der menschlichen Hand nachgebildet ist. Das Unternehmen Festo präsentiert sie auf der Hannover Messe 2019.

Festo Bionic Softhand und Softarm angesehen Video aufrufen
Mordhau angespielt: Die mit dem Schwertknauf zuschlagen
Mordhau angespielt
Die mit dem Schwertknauf zuschlagen

Ein herausfordernd-komplexes Kampfsystem, trotzdem schnelle Action mit Anleihen bei Chivalry und For Honor: Das vom Entwicklerstudio Triternion produzierte Mordhau schickt Spieler in mittelalterlich anmutende Multiplayergefechte mit klirrenden Schwertern und hohem Spaßfaktor.
Von Peter Steinlechner

  1. Bus Simulator angespielt Zwischen Bodenschwelle und Haltestelle
  2. Bright Memory angespielt Brachialer PC-Shooter aus China

Katamaran Energy Observer: Kaffee zu kochen heißt, zwei Minuten später anzukommen
Katamaran Energy Observer
Kaffee zu kochen heißt, zwei Minuten später anzukommen

Schiffe müssen keine Dreckschleudern sein: Victorien Erussard und Jérôme Delafosse haben ein Boot konstruiert, das ohne fossilen Treibstoff auskommt. Es kann sogar auf hoher See selbst Treibstoff aus Meerwasser gewinnen. Auf ihrer Tour um die Welt wirbt die Energy Observer für erneuerbare Energien.
Ein Bericht von Werner Pluta

  1. Umweltschutz Kanäle in NRW bekommen Ladesäulen für Binnenschiffe
  2. Transport DLR plant Testfeld für autonome Schiffe in Brandenburg
  3. C-Enduro Britische Marine testet autonomes Wasserfahrzeug

Das andere How-to: Deutsch lernen für Programmierer
Das andere How-to
Deutsch lernen für Programmierer

Programmierer schlagen sich ständig mit der Syntax und Semantik von Programmiersprachen herum. Der US-Amerikaner Mike Stipicevic hat aus der Not eine Tugend gemacht und nutzt sein Wissen über obskure Grammatiken, um Deutsch zu lernen.
Von Mike Stipicevic

  1. Programmiersprachen, Pakete, IDEs So steigen Entwickler in Machine Learning ein
  2. Software-Entwickler Welche Programmiersprache soll ich lernen?

    •  /