Cómo androide servicios de accesibilidad se puede utilizar para cortar el teléfono

Se dice que el camino al infierno está empedrado de buenas intenciones. Se puede hacer algo con los extremos más magnánimo, pero si no se tiene cuidado, todo puede ir muy mal, con una rapidez increíble.

Una vulnerabilidad de seguridad en Servicios de accesibilidad de Android - descubierto por el investigador de seguridad SkyCure Yair Amit - es un gran ejemplo de esto. Mediante la explotación de un defecto en la herramienta que permite a las personas ciegas y deficientes visuales que utilizan los dispositivos Android, un atacante podría hacerse con el control del dispositivo, en el proceso de adquisición de privilegios elevados, y aprovechando el acceso a los archivos almacenados en él.

Vamos a echar un vistazo, y averiguar cómo se puede evitar que esto suceda.

Vídeo: Samsung Galaxy S3 - Accesibilidad para Personas con Discapacidad

La comprensión de la falla

La vulnerabilidad se basa en investigaciones anteriores de SkyCure, publicado en la conferencia RSA de este año. La investigación exploró cómo, mediante la creación de aplicaciones que se pueden dibujar sobre otros, ya su vez poner en marcha el incorporado en los servicios de accesibilidad (mejoras en la interfaz de usuario diseñada para ayudar a los usuarios con discapacidad), se pueden introducir diversos tipos de comportamiento maligno, como se ha demostrado en el vídeo a continuación.

Como prueba de concepto-, SkyCure ha creado un juego basado en la popular serie de televisión Rick y Morty, que en realidad pone en marcha un servicio de accesibilidad malicioso, todo ello sin el conocimiento del usuario.

En la descripción de la amenaza original, SkyCure dice que podría ser utilizado para “dar un hacker malicioso permisos prácticamente ilimitadas para su malware”. Una aplicación potencial para el ataque, SkyCure dice, es el despliegue de ransomware. También se podría utilizar para escribir correos electrónicos y documentos de la empresa a través del dispositivo del usuario, como el seguimiento y persistentemente la actividad del dispositivo.

Este tipo de ataque tiene un nombre - clickjacking, o menos comúnmente un “ataque reparación de interfaz de usuario”. OWASP (Proyecto Abierto de Seguridad de Aplicaciones Web) define clickjacking como cuando “un atacante utiliza múltiples capas transparentes u opacos para engañar a un usuario para que haga clic en un botón o enlace en otra página cuando tenían la intención de hacer clic en la página de nivel superior”.

A partir de Android Lollipop (5.x), Google añadió una solución que, en teoría, habría hecho este tipo de ataque imposible. El cambio introducido por Google significa que si un usuario desea activar los servicios de accesibilidad, el botón Aceptar no pudo ser cubierto por una superposición, evitando que un atacante lanzándolos a escondidas.

A modo de referencia, esto es lo que parece cuando se lanza un servicio de accesibilidad manualmente. Como se puede ver, Google es muy explícito acerca de los permisos requeridos para Android. Esto disuadirá a muchos usuarios de la instalación de los servicios de accesibilidad en el primer lugar.Cómo funcionan los permisos Trabajo & ¿Por qué usted debe cuidar [Android]Cómo funcionan los permisos Trabajo & ¿Por qué usted debe cuidar [Android]fuerzas de aplicaciones Android para declarar los permisos que requieren cuando los instalan. Puede proteger su privacidad, la seguridad y la cuenta de teléfono celular, prestando atención a los permisos cuando la instalación de aplicaciones - aunque muchos usuarios ...Lee mas

Cómo derrotar Protecciones de Google

Yair Amit, sin embargo, fue capaz de encontrar un defecto en el enfoque de Google.

“Estaba en un hotel cuando se me ocurrió que, si bien la puerta del hotel en su mayoría bloqueado mi visión del pasillo fuera, había una mirilla que no estaba bloqueando la vista. Esta fue mi epifanía que me llevó a pensar que si había un agujero en la superposición, el botón Aceptar podría ser `en su mayoría cubiertas` y todavía aceptar un toque en el área potencialmente muy pequeño que no estaba cubierta, evitando de esta manera la nueva protección y todavía ocultar la verdadera intención del usuario “.

Para probar esta idea, SkyCure desarrollador de software Elisha Eshed modificó el juego Rick y Morty, que fue utilizado en el original explotar una prueba de concepto. Eshed creado un pequeño agujero en la capa, que se disfraza como un elemento de juego, pero en realidad era el botón de confirmación en el servicio de accesibilidad. Cuando el usuario hace clic en el elemento de juego, se puso en marcha el servicio, y con él, todo el comportamiento indeseable.

Mientras que el original explotar trabajó contra prácticamente todos los dispositivos Android corriendo Android KitKat y anteriormente, este método aumenta el número de dispositivos explotables para incluir aquellos que ejecutan Android 5.0 Lollipop. Como consecuencia, los dispositivos Android casi todos los activos son vulnerables a este ataque. SkyCure estima que hasta un 95,4% de los dispositivos Android podría verse afectada.Es oficial: Nexus 5 y Android 4.4 KitKat está aquíEs oficial: Nexus 5 y Android 4.4 KitKat está aquíEl Nexus 5 está a la venta en Google Play Store y que está funcionando el nuevo Android 4.4 KitKat, que también será el despliegue de otros dispositivos "en las proximas semanas."Lee mas

La mitigación contra ella

En línea con procedimientos de divulgación responsables sensibles, SkyCure primer contacto con Google antes de liberarlo al público, a fin de darles la oportunidad de solucionarlo. Equipo de seguridad Android de Google han decidido no soluciona el problema, y ​​aceptar el riesgo, como consecuencia del diseño actual.

Para mitigar la amenaza, SkyCure recomienda que los usuarios ejecutan una versión actualizada de una solución de defensa contra amenazas móviles. Estos defienden proactivamente contra las amenazas, al igual que un (Intrusion Protection System) IPS o IDS (Intrusion Detection System) hace. Sin embargo, están mayoritariamente dirigidas a usuarios de la empresa, y son mucho más allá de las posibilidades de la mayoría los usuarios domésticos.

SkyCure recomiendan los usuarios domésticos protegen a sí mismos asegurándose descargar aplicaciones sólo de fuentes de confianza, tales como el Google Play Store. También recomienda que los dispositivos se ejecutan una versión actualizada de Android, aunque dada la fragmentación del ecosistema Android y proceso de actualizaciones de soporte impulsado, Esto es más fácil dicho que hecho.¿Es seguro Aplicaciones Android Instalar desde fuentes desconocidas?¿Es seguro Aplicaciones Android Instalar desde fuentes desconocidas?La tienda de Google Play no es su única fuente de aplicaciones, pero ¿es seguro para buscar en otros lugares?Lee mas

Vale la pena señalar que la melcocha - la última versión de Android - requiere que los usuarios crear de forma manual y, concretamente, una superposición del sistema cambiando los permisos para esa aplicación. Si bien este tipo de vulnerabilidad podría afectar posiblemente los dispositivos con malvavisco, en realidad eso no va a suceder, ya que es mucho más difícil de explotar.

Vídeo: Mi Celular Habla Cuando Digito, Desactivar Talkback en Cualquier Android

Poner todo en contexto

SkyCure han identificado una forma peligrosa y viable para un atacante para dominar por completo un dispositivo Android. Mientras que da miedo, vale la pena recordar a sí mismos que una gran cantidad de tarjetas que caer en el lugar durante un ataque basado en ella para trabajar.

Vídeo: Activar accesibilidad en Android 2.3 o inferior 1ª Parte

El atacante tiene ya sea para hacer una de dos cosas. Una táctica sería la de desplegar su aplicación en la tienda de Google Play - a su vez sin pasar por sus procedimientos de análisis estático y de detección de amenazas muy vigorosos. Esto es extremadamente improbable. Seis años desde su apertura, y millones de aplicaciones más adelante, Google ha conseguido muy buenos para identificar malware y software falso. En ese momento, también lo ha hecho Apple, aunque Microsoft todavía tiene un largo camino por recorrer.

Como alternativa, los atacantes tendrán que convencer a un usuario para configurar su teléfono para aceptar el software de fuentes no oficiales, y para instalar una aplicación por otra parte desconocido. Como esto es poco probable encontrar un amplio público, se requerirá a los atacantes o bien elegir un objetivo y ‘phishing de lanza` ellos.

Si bien esto será inevitablemente una pesadilla para los departamentos de TI, que va a ser un problema menor para los usuarios domésticos ordinarios, la gran mayoría de los cuales obtienen sus aplicaciones desde una única fuente oficial, - la tienda de Google Play.