This post is also available in:
English (אנגלית)
חולשה חדשה במכשירי אנדואיד, המכונה "TapTrap", מציבה משתמשים בסיכון על ידי כך שהיא מאפשרת להאקרים לעקוף הנחיות אבטחה ולגשת ללא אישור לנתונים רגישים. ההתקפה פועלת על ידי ניצול האנימציות המוגדרות כברירת מחדל במסך של אנדואיד, כך שהן הופכות חלק מההנחיות האבטחה לבלתי נראות, ומטעות את המשתמשים להעניק הרשאות מסוכנות מבלי שהם יודעים, כמו גישה למיקום, מצלמה והודעות.
לפי החוקרים, שיטה חדשה זו של Tapjacking היא מתוחכמת. כאשר משתמש מתקין אפליקציה שנראית תמימה, היא עשויה להיראות רגילה וכאילו אינה דורשת הרשאות. עם זאת, ברקע, האפליקציה הזדונית עשויה לבקש הרשאות רגישות. על ידי מניפולציה של האנימציה בין המסכים, ההודעה שמבקשת את ההרשאות הופכת בלתי נראית לרגע, ומאפשרת לאפליקציה להטעות את המשתמש ללחוץ על כפתור ה"אפשר" מבלי שהוא מבחין בכך.
חוקרי אבטחה מאוניברסיטת הטכנולוגיה בוינה ואוניברסיטת ביי רויט הראו במאמר כיצד טכניקה זו יכולה להוביל לחולשה מוחלטת במכשיר. על ידי הענקת הרשאות שקטה לאפליקציות זדוניות, תוקפים יכולים לגשת לנתונים רגישים, לשנות הגדרות מערכת, ואפילו למחוק את המכשיר, וכל זאת מבלי שהמשתמש יהיה מודע או יאשר את הפעולה. התקפה זו אינה מוגבלת רק לאפליקציות לנייד, אלא יכולה להתרחב גם לאפליקציות אינטרנט ואתרי אינטרנט.
במהלך מחקרם, הצוות גילה שהחולשה משפיעה על רוב מכשירי אנדואיד, וכמעט 75% מהאפליקציות בחנות Google Play ניתנות לניצול באמצעות TapTrap. החוקרים גם זיהו באג במערכת האנימציות של אנדואיד, שמאריך את חלון החולשה ומאפשר להודעת ההרשאה הבלתי נראית להישאר פעילה עד שישה שניות במקום שלוש שניות כמתוכנן, מה שמגביר את הסיכויים להצלחת ההתקפה.
למרות שלא דווחו על התקפות רחבות בהן נעשה שימוש ב-TapTrap, הגילוי פותח הזדמנויות חדשות עבור פושעי סייבר לנצל את הפגם הזה. למשתמשי אנדואיד מומלץ לנטרל את האנימציות במערכת דרך הגדרות הנגישות במכשיר כצעד זמני למנוע את ההתקפה, אם כי פעולה זו תנטרל גם אנימציות אחרות במכשיר.
החוקרים הזהירו כי אנדואיד 16 עדיין פגיע ל-TapTrap, והמליצו לגוגל לטפל בבעיה בעדכונים הקרובים. עד אז, על המשתמשים להיזהר ולוודא שהאנימציות במערכת שלהם מנוטרלות כדי למנוע ניצול החולשה.
