Unsichtbarer Angriff auf Android: Cloak & Dagger

Zur Zeit ist es sehr einfach möglich, einen unsichtbaren Angriff auf ein aktuelles Android-System durchzuführen. Problem dabei: der Angriff kann nicht vollständig verhindert werden.

Einzige Sicherheit: Überlegtes Handeln bei der Installation von Apps.

Das Problem ist das grundlegende Rechtemanagement bei Android: Jede App besitzt die Berechtigung “Window on Top”, also die Möglichkeit das eigene Programmfenster über alle anderen zu legen.

BIND_ACCESSIBILITY_SERVICE gibt einer App die Möglichkeit, selbständig Tastatureingaben ohne Wissen des Anwenders einzugeben.

Jede App könnte angreifen

Beide Funktionen für sich sind nicht schlimm, kombiniert ergeben Sie eine gefährliche Sicherheitslücke: theoretisch alle Android-Programme sind damit in der Lage, ein unsichtbares Fenster über jede Android-Tastatur zu legen. Jede Eingabe kann über “Window on Top” erkannt werden, dann mittels BIND_ACCESSIBILITY_SERVICE die ausgewählte Taste ausgelöst werden. Der Anwender merkt in diesem Fall nicht einmal, daß alle seine Tastatureingaben mitgelesen werden können – Nutzernamen, Kennwörter, PINs.

Im Prinzip geht es sogar so weit, daß eine App einen “Tippfehler” bei einer TAN-Eingabe vorgaukeln könnte – um so eine gültige TAN zu ergaunern. Oder aber – um beim Online-Banking zu bleiben – einfach die Überweisung auf ein anders Konto durchführen, als für den Anwender angezeigt wird.

Bugfix unwahrscheinlich

Die Möglichkeiten und auch die Gefährlichkeit dieser Lücke sind immens – eine App kann sich damit auch problemlos noch höhere Berechtigungen geben. Einen Bugfix können wir nach aktuellen Informationen nicht erwarten – weil es im Prinzip kein Bug an sich ist, sondern einfach nur das Rechtesystem schlau ausgenutzt.

Google hat angekündigt, keine Apps in den Store zu lassen, die diese Berechtigungen ausnutzt. Damit müssen wir wohl drauf hoffen, daß Google wirklich alle 2.891 Millionen Apps überprüft hat – und auch alle weiteren ins Details überprüft. Gleiches gilt natürlich auch für Apps ausserhalb des Play Store – sehr viele Anwender dürften die Amazon-Apps abseits des Play Store installiert haben.

Alle Nutzer von “gerooteten” Android-Versionen müssen sich die Arbeit mit der “genauen Überpüfung” vermutlich selbst machen.

Immerhin eins hat Google klar angekündigt: die nächste Android-Version, Android O, ist nicht anfällig.