Una novedosa técnica de ataque llamada TapTrap puede explotar las animaciones de la UI (interfaz de usuario) de los dispositivos Android para eludir su sistema de permisos, permitir el acceso a datos confidenciales o engañar a los usuarios para que realicen acciones destructivas, como borrar el dispositivo.
Estos ataques funcionan incluso con aplicaciones sin permisos para lanzar una actividad transparente maliciosa sobre una inofensiva, un comportamiento que no se ha mitigado en las versiones 15 y 16 del sistema operativo de Google.
La técnica fue desarrollada por un equipo de investigadores de seguridad de dos universidades ubicadas en Viena y Alemania. Estos publicaron un documento técnico que describe el ataque y un sitio web que resume la mayoría de los detalles.
¿Cómo puede engañar el ataque TapTrap a los usuarios de Android?
TapTrap abusa de la forma en que Android gestiona las transiciones de actividad con animaciones personalizadas para crear una discrepancia visual entre lo que ve el usuario y lo que el dispositivo realmente registra.
Una aplicación maliciosa instalada en el dispositivo objetivo abre una pantalla sensible del sistema (solicitud de permiso, configuración del sistema, etcétera) con una animación personalizada de muy baja opacidad.
Aunque la solicitud iniciada recibe todos los eventos táctiles, el usuario solo ve la aplicación subyacente que muestra sus propios elementos de la interfaz de usuario, ya que sobre ella se encuentra la pantalla transparente con la que interactúa.
Al creer que interactúan con la aplicación, un usuario podría tocar posiciones específicas de la pantalla que corresponden a acciones de riesgo, como los botones «Permitir» o «Autorizar» en indicaciones casi invisibles.
Video propiedad de Philipp Beer
Para comprobar si el ataque TapTrap funcionaba con las aplicaciones de Play Store, el repositorio oficial de Android, los investigadores analizaron cerca de 100 000 apps. Descubrieron que el 76 % de ellas son vulnerables a esta técnica, ya que incluyen una pantalla (actividad) que cumple las siguientes condiciones:
- Puede ser iniciada por otra aplicación
- Se ejecuta en la misma tarea que la aplicación que la llama
- No anula la animación de transición
- No espera a que la animación termine para reaccionar a la entrada del usuario
Los investigadores afirman que las animaciones están habilitadas en la última versión de Android a menos que los usuarios las desactiven desde las opciones de desarrollador o la configuración de accesibilidad.
Formas de mitigar los riesgos de ataques TapTrap
- Considera una app de seguridad móvil: usa un antivirus o app de seguridad móvil de confianza que pueda detectar comportamientos sospechosos o alertarte sobre apps que usan superposiciones o funciones de accesibilidad de forma incorrecta
- Sé selectivo con las apps que instalas: evita instalar apps solo porque sean tendencia o tengan anuncios llamativos. Comprueba la credibilidad del desarrollador, las reseñas recientes y los permisos de la app antes de descargarla
- Utiliza solo la Google Play Store: la Play Store de Google ofrece mejores protecciones que otras fuentes de APK. Evita instalar apps de tiendas de terceros o sitios web desconocidos
- Piensa antes de conceder permisos: si una app te pide acceso a tu cámara, micrófono u otras funciones sensibles, tómate un momento. Pregúntate siempre si la app realmente necesita ese permiso
Información de varias fuentes / Redacción CeluFlash
No dejes de leer: Audífonos con cable son los más vendidos por estos motivos
Nuestras redes sociales, únete y sé parte de la tecnología
