Σαν να μην έφταναν οι υπάρχουσες απειλές για τα smartphones Android – όπως οι επιθέσεις μέσω SMS που δεν απαιτούν καν τον αριθμό σου, τα κακόβουλα λογισμικά που κλέβουν τις φωτογραφίες σου ή που μετατρέπουν τις επαφές σου σε ανυποψίαστους χάκερ – τώρα εμφανίστηκε μια νέα μέθοδος επίθεσης. Και είναι αόρατη. Καλώς ήρθες στον παράξενο και επικίνδυνο κόσμο του tapjacking, της απειλής που δεν βλέπεις αλλά μπορεί να σβήσει εντελώς το κινητό σου.
Τι είναι το tapjacking και γιατί είναι τόσο επικίνδυνο
Φαντάσου μια νέα μέθοδο επίθεσης που επιτρέπει σε έναν κακόβουλο παράγοντα να χειριστεί μια εφαρμογή ώστε να αποκτήσει πρόσβαση στην κάμερα χωρίς τη συγκατάθεσή σου. Τώρα φαντάσου η ίδια μέθοδος να μπορεί να διαγράψει όλο το κινητό σου. Ανησύχησες;
Αυτό ακριβώς αποκάλυψαν οι ερευνητές Philipp Beer, Marco Squarcina και Martina Lindorfer από την ερευνητική ομάδα Security and Privacy Group του Πανεπιστημίου TU Wien στην Αυστρία, μαζί με τον Sebastian Roth από το Πανεπιστήμιο του Bayreuth στη Γερμανία.
Στην έρευνά τους ανέπτυξαν το TapTrap, δείχνοντας πώς μια εφαρμογή χωρίς καθόλου άδειες μπορεί να εκμεταλλευτεί τις κινούμενες μεταβάσεις της οθόνης ώστε να ανοίξει ένα άλλο παράθυρο χωρίς να το καταλάβεις, να το κάνει αόρατο και να σε κάνει να πατήσεις εν αγνοία σου σε ένα παράθυρο αδειών. Αυτή η μέθοδος, όπου μια διαφανής ενέργεια καλύπτει μια κακόβουλη, είναι καινούργια και επικίνδυνη.
Η εφαρμογή σε ξεγελάει με ορατό και αόρατο περιεχόμενο
Κανονικά, όταν αλλάζει οθόνη στο Android, βλέπεις μια κινούμενη μετάβαση – ένα γλίστρημα, ένα ξεθώριασμα. Η επίθεση TapTrap, όμως, μπορεί να κάνει τη νέα οθόνη πλήρως διαφανή και να την κρύψει. «Όλες οι πατημένες οθόνης κατά τη διάρκεια της μετάβασης πηγαίνουν στην κρυφή οθόνη, όχι στην ορατή εφαρμογή», εξήγησαν οι ερευνητές.
Για να καταλάβεις πόσο επικίνδυνο είναι αυτό, η εφαρμογή μπορεί να σε οδηγήσει να πατήσεις περιοχές της οθόνης που «αντιστοιχούν σε ευαίσθητες ενέργειες στην κρυφή οθόνη», όπως σημειώνουν οι ερευνητές, «επιτρέποντας έτσι την εκτέλεση ενεργειών χωρίς τη γνώση σου». Ενέργειες όπως, για παράδειγμα, η ενεργοποίηση άδειας διαχειριστή συσκευής, που μπορεί να επιτρέψει στη συγκεκριμένη εφαρμογή να διαγράψει εξ αποστάσεως το κινητό σου.
Πώς να προστατευτείς από την αόρατη επίθεση TapTrap
Οι ερευνητές δήλωσαν ότι γνωστοποίησαν υπεύθυνα την απειλή TapTrap στην ομάδα ασφάλειας του Android, καθώς και σε μεγάλους προμηθευτές browser, δύο φορές μέσα στο 2024. «Οι προγραμματιστές browser έχουν ήδη επιδιορθώσει το πρόβλημα», αναφέρουν, «όμως το Android δεν έχει ακόμη ανταποκριθεί». Ο συντάκτης του άρθρου επικοινώνησε με τη Google για σχετική δήλωση.
Στο μεταξύ, οι χρήστες Android συνιστάται να απενεργοποιήσουν τις κινούμενες μεταβάσεις από τις ρυθμίσεις προσβασιμότητας της συσκευής τους έως ότου η Google διορθώσει το ζήτημα.
«Αυτό εμποδίζει την επίθεση», καταλήγουν οι ερευνητές, «αλλά απενεργοποιεί και τα animations της συσκευής σας».