Güvenlik araştırmacıları, Android'de bastığınız tuşları kaydedip istenen yazılımın uzaktan yüklenmesine izin veren yeni bir açık keşfettiler.
UC Santa Barbara ve Georgia Tech araştırmacılarının bulduğu "Cloak and Dagger" açığı, sadece SYSTEM ALERT WINDOW ("draw on top") ve BIND ACCESSIBILITY SERVICE ("a11y") izinleri üzerinden cihazın ele geçirilmesine izin veriyor. Bu durum araştırmacıları endişelendiriyor çünkü Android, bahsedilen ilk izni otomatik olarak her uygulamaya veriyor. Hacker bu aşamayı geçtikten sonra kullanıcıyı kandırarak a11y iznini alabiliyor. Cloak and Dagger'ın bulaştığı bir uygulama, zararlı etkinliklerini zararsız görünen bir arayüz altında gerçekleştiriyor. Uygulama, sizden bir düğmeye basmanızı istediğinde, aslında ekranda gördüğünüz düğmeye değil, zararlıya izin vermeye yönelik görünmez bir düğmeye basıyorsunuz.
Daha da kötüsü araştırmacılar, erişebilirlik uygulamasının telefonun etkinliklerine ulaşabildiğini, telefonun kilidini açabildiğini, ekran kapalıyken herhangi bir uygulamayla etkileşim kurabildiğini söylüyor.
Google, açığın farkında ve araştırmacılara iletişim içinde olduğunu, bu tür uygulamaların yüklenmesini engellemek üzere Google Play Protect'i güncellediğini söylüyor. Firma, bu rapordan önce Android O'da bu sorunları çözecek yeni güvenlik işlevleri inşa ettiklerini de ekliyor.