Manto e adaga: o que você precisa saber

Foi revelada uma nova exploração do Android, chamada Cloak & Dagger, e, fiel ao seu nome, descreve maneiras pelas quais aplicativos mal intencionados podem tirar proveito de duas permissões do Android para roubar pressionamentos de teclas e induzir os usuários a divulgar informações pessoais.

Mas isso é perigoso? Vamos dividir rapidamente.

O que é Cloak & Dagger?

Cloak & Dagger é o nome de uma combinação de duas permissões exploráveis ​​do Android que, quando usadas de forma independente ou separada por meio de um aplicativo mal intencionado, podem ter consequências terríveis.

Foi publicado como prova de conceito por uma equipe de quatro pessoas no Instituto de Tecnologia da Geórgia e na Universidade da Califórnia, em Santa Barbara.

Não é uma exploração ativa e, até o momento, não há usos públicos conhecidos.

Como funciona?

De acordo com a equipe, Cloak & Dagger aproveita duas permissões do Android - SYSTEM_ALERT_WINDOW ("empate por cima") e BIND_ACCESSIBILITY_SERVICE ("a11y") - que, ao trabalharem juntas ou separadamente, possibilitam que um aplicativo "escute" e roube a entrada de texto, como senhas, números de autenticação de dois fatores ou dados pessoais.

Cloak & Dagger é uma nova classe de ataques em potencial que afetam dispositivos Android. Esses ataques permitem que um aplicativo mal-intencionado controle completamente o ciclo de feedback da interface do usuário e domine o dispositivo - sem dar ao usuário a chance de perceber a atividade mal-intencionada. Esses ataques exigem apenas duas permissões que, caso o aplicativo seja instalado na Play Store, o usuário não precisa conceder explicitamente e para o qual nem sequer é notificado. Nosso estudo com usuários indica que esses ataques são práticos.

A permissão "desenhar em cima" é conhecida como o recurso de sobreposição do Android e é usada por muitos aplicativos como o Facebook Messenger e o recurso Multi Window da Samsung para ativar "janelas" que podem ser minimizadas e movidas em cima de outros aplicativos.

Como funciona a exploração?

Como as duas permissões não fazem parte do sistema explícito de concessão de permissões do Android iniciado no Android 6.0 Marshmallow, quando um aplicativo mal-intencionado é baixado, o aplicativo pode conceder automaticamente a permissão "empate na parte superior".

Quando isso acontece, o aplicativo, uma vez aberto, pode criar uma sobreposição em um aplicativo conhecido, como o Facebook, para "phishing" como senhas. Ele também pode se sobrepor ao teclado do Android, captando todo o texto inserido.

A permissão de acessibilidade é um pouco mais difícil de forçar o usuário a ativar, mas a equipe diz que sua prova de conceito usou a permissão de sobreposição para induzir os usuários a ativá-la. Quando os dois estão ativados, um aplicativo "god mode" pode roubar dados de qualquer aplicativo usado no telefone.

Todo mundo é afetado

Cloak & Dagger afeta todas as versões do Android, de acordo com a equipe, incluindo o Android 5.0, 6.0 e 7.0, até a versão mais recente do Android 7.1.2.

O Android 7.0 e superior tornam um pouco mais difícil o trabalho de algumas das sobreposições, mas ainda há alguma ingenuidade.

Você deveria se preocupar?

No momento, não há aplicativos conhecidos que aproveitem essas permissões para fins maliciosos, embora agora sejam públicos, isso pode mudar. A equipe publicou a pesquisa para forçar a mão do Google a melhorar a experiência, já que, diferentemente de outras vulnerabilidades do Android, essas explorações aproveitam as falhas de design nas próprias permissões, não os buracos ou bugs no software.

O que você pode fazer para se proteger?

Isso não será um problema para você, se você for cuidadoso com os aplicativos que usa.

Muitas vezes são feitas muitas falhas de segurança do Android, mas Cloak & Dagger não é algo com que você precise se preocupar, desde que tenha cuidado ao conceder permissões de sobreposição.

Para atenuar os efeitos potenciais do Cloak & Dagger, é uma boa ideia revisar quais aplicativos podem criar sobreposições no seu sistema Android. Na maioria das versões do Android, veja como fazê-lo:

1. Abra as configurações do Android.
2. Role para baixo e toque em Aplicativos.
3. Toque no ícone Menu ou Cog.
4. Localize e toque em Acesso especial. Geralmente está no cabeçalho "Avançado".
5. Toque em Draw sobre outros aplicativos. Esses são os aplicativos que podem criar sobreposições usando a permissão acima.
6. Desative os aplicativos que você não reconhece.

Mais: Como desativar a sobreposição de tela no Galaxy S8

Não entre em pânico!

Sério, isso não é muito importante se você for cuidadoso com os aplicativos que baixa, especialmente porque o Google agora verifica 50 bilhões de aplicativos em busca de malware todos os dias usando o sistema Play Protect.

Felizmente, o Google abordará esse problema publicamente ou pelo menos fornecerá alguns esclarecimentos sobre o que pretende fazer com as sobreposições de aplicativos. O Android O deve eliminar completamente esse problema, refatorando o problema de sobreposição com uma nova API, mas não está claro como ou se o Google planeja abordar a preocupação nas versões anteriores.