Abo
  • IT-Karriere:

Android-Apps: Rechtemissbrauch ermöglicht unsichtbare Tastaturmitschnitte

Zwei Funktionen für Android-Apps können einfach missbraucht werden, um Nutzereingaben mitzulesen oder sogar weitere bösartige Apps zu installieren - ohne Wissen oder Zutun des Anwenders. Google hat bereits reagiert.

Artikel veröffentlicht am ,
Über ein unsichtbares Overlay können Tastatureingaben unter Android abgefangen werden.
Über ein unsichtbares Overlay können Tastatureingaben unter Android abgefangen werden. (Bild: Yanick Fratantonio)

Unter dem Namen Cloak & Dagger beschreiben Forscher zwei Angriffe auf fast alle Android-Versionen. Sie erlauben nicht nur das Mitlesen von Tastatureingaben, sondern auch Eingaben zu machen, ohne dass der Anwender es bemerkt. Die Angriffe erfolgen über gängige Funktionen, auf deren Zugriff alle Apps die entsprechenden Rechte haben. Google hat mittlerweile reagiert und verhindert die Aufnahme von Apps in Googles Play Store, die diese Funktionen nutzen. In der bevorstehenden Version O von Android sollen die Schwachstellen behoben werden.

Stellenmarkt
  1. BG-Phoenics GmbH, Hannover
  2. Technische Universität Darmstadt, Darmstadt

Sämtliche Apps besitzen die Rechte SYSTEM_ALERT_WINDOW - auch "draw on top" genannt. Damit können Apps unsichtbare Overlays über die Benutzeroberfläche legen und so etwa Warnmeldungen verstecken. Über ein unsichtbares Overlay können auch Tastatureingaben abgefangen werden, ohne dass der Anwender etwas bemerkt. Damit könnten Angreifer zum Beispiel auch Passwort-Eingaben mitschneiden.

BIND_ACCESSIBILITY_SERVICE beziehungsweise auch "a11y" erlaubt hingegen die verdeckte Eingabe von Tastaturbefehlen ohne Zutun des Anwenders. Damit ließen sich auch PINs auslesen und auch bei ausgeschaltetem Bildschirm wieder eingeben. Ferner könnten Angreifer auch Tokens für die Zwei-Faktor-Authentifizierung abfangen.

Kombiniert noch weitaus gefährlicher

In Kombination ist der Missbrauch der Rechte noch gefährlicher. Eine entsprechend programmierte App könnte sich so zunächst über SYSTEM_ALERT_WINDOW den Zugriff auf den BIND_ACCESSIBILITY_SERVICE verschaffen und anschließend wieder ohne Zutun des Anwenders weitere Rechte erlangen, etwa für die Installation einer weiteren App, die nochmals erhöhte Rechte bereitstellt. Sie hätten sich so Zugriff auf die gesamte Benutzeroberfläche verschafft, schreiben die Forscher der Universitäten in UC Santa Barbara und Georgia Tech in den USA. In den Tests seien sich keine Anwender über den Zugriff bewusst gewesen.

Dem Online-Magazin The Register sagte ein Google-Sprecher, man habe die Richtlinien des Play Stores so geändert, dass Apps, die diese Sicherheitslücken missbrauchen, nicht mehr installiert werden können. Außerdem sei die nächste Android-Version O bereits gegen solche Angriffe gewappnet. Ansonsten gilt die übliche Binsenweisheit: Obacht bei der Installation unbekannter oder gar dubioser Apps.



Anzeige
Top-Angebote
  1. (u. a. 20% auf ausgewählte Monitore)
  2. (u. a. Sennheiser HD 4.50R für 99€)
  3. (u. a. GRID - Day One Edition (2019) für 27,99€ und Hunt Showdown für 26,99€)
  4. (aktuell u. a. Corsair GLAIVE RGB als neuwertiger Outlet-Artikel für 32,99€ + Versand)

notnagel 05. Jun 2017

Ich kann mir kaum vorstellen, daß mein S4 oder das S3 Mini mit den offiziellen Android...

User_x 29. Mai 2017

ein Handy ist aber kein Auto und wäre das so, dann hat der Hersteller nicht die Fenster...

Nikolai 29. Mai 2017

Das ist ein Teil der Accessibility-Funktionen. Braucht man um z.B. speziell für Blinde...

Myxier 29. Mai 2017

+1

FreiGeistler 29. Mai 2017

Also nicht wahllos Apps aus dem Play Store ;-)


Folgen Sie uns
       


Sonos Move ausprobiert (Ifa 2019)

Wir haben den Move ausprobiert, Sonos' ersten Lautsprecher mit Akku, Bluetooth-Zuspielung und Auto-Trueplay.

Sonos Move ausprobiert (Ifa 2019) Video aufrufen
iPad 7 im Test: Nicht nur für Einsteiger lohnenswert
iPad 7 im Test
Nicht nur für Einsteiger lohnenswert

Auch mit der siebten Version des klassischen iPads richtet sich Apple wieder an Nutzer im Einsteigersegment. Dennoch ist das Tablet sehr leistungsfähig und kommt mit Smart-Keyboard-Unterstützung. Wer ein gutes, lange unterstütztes Tablet sucht, kann sich freuen - ärgerlich sind die Preise fürs Zubehör.
Ein Test von Tobias Költzsch

  1. iPad Einschränkungen für Apples Sidecar-Funktion
  2. Apple Microsoft Office auf neuem iPad nicht mehr kostenlos nutzbar
  3. Tablet Apple bringt die 7. Generation des iPads

Internetprovider: P(y)ures Chaos
Internetprovider
P(y)ures Chaos

95 Prozent der Kunden des Internetproviders Pyur bewerten die Leistung auf renommierten Bewertungsportalen mit der Schulnote 6. Ein Negativrekord in der Branche. Was steckt hinter der desaströsen Kunden(un)zufriedenheit bei der Marke von Tele Columbus? Ein Selbstversuch.
Ein Erfahrungsbericht von Tarik Ahmia

  1. Bundesnetzagentur Nur 13 Prozent bekommen im Festnetz die volle Datenrate

Mädchen und IT: Fehler im System
Mädchen und IT
Fehler im System

Bis zu einem gewissen Alter sind Jungen und Mädchen gleichermaßen an Technik interessiert. Wenn es dann aber um die Berufswahl geht, entscheiden sich immer noch viel mehr junge Männer als Frauen für die IT. Ein wichtiger Grund dafür ist in der Schule zu suchen.
Von Valerie Lux

  1. IT an Schulen Intelligenter Stift zeichnet Handschrift von Schülern auf
  2. 5G Milliardenlücke beim Digitalpakt Schule droht
  3. Medienkompetenz Was, Ihr Kind kann nicht programmieren?

    •  /