Während Nutzer harmlose Insekten jagen, öffnet sich unbemerkt der Browser – eine gefährliche Sicherheitslücke in Android-Geräten macht es möglich. Forschungsteam der TU Wien hat gravierende Sicherheitslücke in Android-Geräten aufgedeckt. Die entdeckte Schwachstelle ermöglicht es schädlichen Anwendungen, durch sogenanntes „Tapjacking“ (Methode zum Abfangen von Bildschirmberührungen) unbemerkt Zugriffsrechte zu erlangen, indem sie Animationsübergänge manipulieren. Die Wissenschaftler stehen bereits in Kontakt mit verschiedenen Sicherheitsteams, wie die Technische Universität mitteilte.
Auf mobilen Endgeräten können mehrere Anwendungen parallel laufen. Normalerweise interagieren Nutzer nur mit der sichtbaren App im Vordergrund. Allerdings können Programme auch andere Anwendungen im Hintergrund starten. „Um dies vor dem Benutzer zu verbergen, setzt die bösartige App Animationen ein, beispielsweise solche mit langer Dauer und hoher Transparenz“, erläuterte Philipp Beer von der Security and Privacy Group der TU Wien im Gespräch mit der APA.
Beer und sein Forschungsteam, bestehend aus Marco Squarcina, Sebastian Roth und Martina Lindorfer, demonstrierten diese Angriffsmethode mit einem einfachen Spiel namens „KillTheBugs“. Bei diesem Spiel sammeln Nutzer Punkte durch Antippen kleiner Insekten auf dem Display. Unbemerkt öffnet das Spiel jedoch durch eine Animation eine andere Anwendung, etwa einen Browser.
„Wir können nun nach Belieben unsere Käfer aus dem Spiel so platzieren, dass genau die Position am Bildschirm angetippt wird, die wir wollen. Man hat das Gefühl, immer noch das Käfer-Spiel zu spielen, aber in Wahrheit bedient man nun die neu gestartete App, die man gar nicht sieht“, so der Informatiker.
TapTrap-Angriffe
„Diese Animation macht dann beispielsweise eine Browser-App oder eine Berechtigungseinstellung komplett unsichtbar“, so Beer. Durch die Fingertipps steuert der Nutzer unwissentlich die im Vordergrund laufende, aber unsichtbare Anwendung wie einen Browser. Eine solche als „TapTrap“ bezeichnete Attacke „kann von einer bösartigen App verwendet werden, um das Berechtigungssystem von Android heimlich zu umgehen und Zugriff auf sensible Daten zu erhalten“, erläutern die Wissenschaftler in ihrer Studie.
In Experimenten mit 20 Testpersonen gelang es den Forschern tatsächlich, auf diese Weise unbemerkt verschiedene Berechtigungen zu erschleichen, etwa den Zugriff auf die Smartphone-Kamera. „Theoretisch könnte man auf diese Weise auch eine Banking-App starten, oder auch alle Daten auf dem Handy löschen“, warnte der Informatiker.
Das Wissenschaftlerteam untersuchte etwa 100.000 Anwendungen aus dem Play Store und fand keine App, die diese Schwachstelle bereits ausnutzt. Die Forscher vermuten daher, dass bislang noch kein realer Schaden entstanden ist – „aber natürlich muss das Problem behoben werden“, betonte Beer. Besorgniserregend ist, dass drei Viertel aller Apps für „TapTrap“-Angriffe anfällig sind.
Schutzmaßnahmen
Verschiedene Entwicklungs- und Sicherheitsteams wurden bereits im vergangenen Jahr über die Möglichkeit einer „TapTrap“-Attacke informiert. Die Browser „Firefox“ und „Google Chrome“ haben die Sicherheitslücke inzwischen geschlossen. Auch GrapheneOS, ein auf Android basierendes Betriebssystem, hat das Problem bereits behoben.
Die Experten empfehlen Nutzern, ausschließlich Apps aus vertrauenswürdigen Quellen zu installieren. Ein Zugriff auf Kamera oder Mikrofon lässt sich oft an entsprechenden Symbolen in der Statusleiste erkennen. Die sicherste Methode sei jedoch, App-Animationen vollständig zu deaktivieren. Diese Option findet sich in den Einstellungen unter „Bedienungshilfen“, „Farbe und Bewegung“.
Auf der Website des Forschungsteams zur „TapTrap“-Attacke ist ein Demonstrationsvideo verfügbar.
Android-Systeme weiterhin ungeschützt
Trotz der Schließung der Sicherheitslücke in Browsern wie Google Chrome und Firefox bleiben auch die neuesten Versionen Android 15 und 16 weiterhin anfällig für diese Angriffsmethode. Google arbeitet laut aktuellen Berichten an einer Lösung, bislang existiert jedoch kein umfassender Schutz auf Systemebene, sodass etwa 76 % aller Play-Store-Apps weiterhin potenziell angreifbar sind.
Während alternative Systeme wie GrapheneOS die Schwachstelle bereits eigenständig behoben haben, bietet Googles eigener Sicherheitsdienst Play Protect zwar Schutz vor schädlichen Apps, aber keinen spezifischen Schutz gegen TapTrap-Angriffe. Die Android-Sicherheitsbulletins der letzten Monate enthalten überraschenderweise keine gezielten Patches gegen diese Lücke, und auch die jüngsten Systemupdates adressieren das Problem bislang nicht direkt.
