{"id":13221,"date":"2017-06-02T10:35:37","date_gmt":"2017-06-02T10:35:37","guid":{"rendered":"https:\/\/www.kaspersky.de\/blog\/?p=13221"},"modified":"2017-09-27T15:29:35","modified_gmt":"2017-09-27T13:29:35","slug":"cloak-and-dagger-attack","status":"publish","type":"post","link":"https:\/\/www.kaspersky.de\/blog\/cloak-and-dagger-attack\/13221\/","title":{"rendered":"Cloak and Dagger: Eine Sicherheitsl\u00fccke bei allen Android-Versionen"},"content":{"rendered":"

Warnung: Dies ist keine \u00dcbung. Betroffen sind alle Android-Versionen <\/strong>und zum Zeitpunkt der Ver\u00f6ffentlichung dieses Artikels hat Google die Schwachstelle noch nicht beseitigt. <\/strong>Es ist genau diese Schwachstelle, die es erm\u00f6glicht Benutzerdaten \u2013 samt Passw\u00f6rtern \u2013 zu stehlen, Handlungen des Users zu registrieren, die Tastatureingabe eines Android Smartphones oder Tablets aufzuzeichnen und Anwendungen zu installieren,\u00a0 die mit einer Reihe von Berechtigungen<\/a> einhergehen. Warnung: Dies ist keine \u00dcbung\u2026<\/p>\n

\"Cloak<\/a><\/p>\n

Die Attacke Cloak and Dagger, benannt nach der gleichnamigen US-amerikanischen Fernsehserie von Marvel, wurde von Mitarbeitern der Technischen Universit\u00e4t Georgia und der Universit\u00e4t Kaliforniens nachgewiesen. Die Forscher versuchten Google wiederholte Male auf das Problem aufmerksam zu machen, jedoch ohne Erfolg: Google speiste sie mit der Anwort, dass alles nach Plan verlaufen w\u00fcrde ab. Die Forscher sahen sich daraufhin gezwungen ihre Erkenntnisse publik zu machen. Zu diesem Zweck wurde sogar die Webseite cloak-and-dagger.org ins Leben gerufen.<\/p>\n

Wesentliches der Attacke<\/strong><\/h2>\n

Zusammengefasst liegt die Attacke der Nutzung einer App von Google Play zu Grunde: Obwohl die App den User nicht nach einer Best\u00e4tigung spezifischer Berechtigungen fragt, erhalten die Angreifer die Berechtigung dem Interface dieser App Priorit\u00e4t zu verleihen und im Namen des Users Aktionen durchzuf\u00fchren ohne dass dieser es bemerkt.<\/p>\n

Erm\u00f6glicht wird die Attacke da der User bei der Installation von Apps aus dem Google Play Store nicht explizit dazu aufgefordert wird Anwendungen den Zugang zur Funktion SYSTEM_ALERT_WINDOW zu gew\u00e4hren. Die Berechtigung auf den ACCESSIBILITY_SERVICE (A11Y) zuzugreifen ist hingegen relativ simpel.<\/p>\n

Um welche Berechtigungen es sich hierbei handelt? Die erste der beiden erlaubt das Interface einer App vorrangig im Vergleich zu anderen Apps anzuzeigen. Die zweite Berechtigung gew\u00e4hrt den Zugang zu einer Reihe von Funktionen, die f\u00fcr Personen mit H\u00f6r- oder Sehst\u00f6rungen zug\u00e4ngig sind. Der Zugang zu dem so genannten Accessibility Service (Dienst der Barrierefreiheit) ist \u00e4u\u00dferst gef\u00e4hrlich, da dieser Dienst einer Anwendung Folgendes erm\u00f6glicht: Zum einen kann \u00fcberwacht werden was zeitgleich in anderen Apps passiert, zum anderen kann im Namen des Users zwischen den unterschiedlichen Anwendungen interagiert werden.<\/p>\n

Was dabei schief gehen k\u00f6nnte?<\/p>\n

Eine unsichtbare Ebene<\/strong><\/h3>\n

Das Wesentliche dieser Attacken, die mithilfe der Berechtigung SYSTEM_ALERT_WINDOW ausgef\u00fchrt werden ist grob gesagt Folgendes: Die Berechtigung, die Google Play standardm\u00e4\u00dfig erteilt, erlaubt einer spezifischen App jeglichen Inhalt vorranig im Vergleich zu allen anderen Apps anzuzeigen. Zudem k\u00f6nnen angezeigte Fenster beliebige Formen annehmen, unter anderem auch L\u00f6cherformen. So kann entweder die Tastatureingabe auf dem Bildschirm aufgezeichnet oder diese Aufzeichnung einer anderen App, die auf einer niedrigeren Ebene ausgef\u00fchrt wird \u00fcberlassen werden.<\/p>\n

Es ist zum Beispiel m\u00f6glich eine transparente Ebene zu kreieren, die die virtuelle Tastatur eines Android-Ger\u00e4tes \u00fcberlappt und so alle Tastatureingaben, die auf dem Bildschirm get\u00e4tigt werden aufzeichnet. Die Korrelation zwischen der Stelle, die der User auf dem Bildschirm\u00a0 hat und dem Tastaturtyp, erm\u00f6glicht es dem Angreifer die Tastatureingaben des Users, die mit genau dieser Tastatur get\u00e4tigt wurden herauszufinden. Und Voila \u2013 ein neuer Keylogger ist zur Tat bereit! Dies ist eines der Beispiele, das die Forscher zur Darstellung der Attacke pr\u00e4sentierten.<\/p>\n