Google właśnie zrzuciło bombę dla twórców aplikacji, udostępniając najnowszą wersję swojego Android mobilny system operacyjny. Firma może teraz uniemożliwić instalację aplikacji, które próbują korzystać z funkcji ułatwień dostępu systemu.
Nowy rozwój, dostępny na żywo w wersji 17.2 Android , chodzi o bezpieczeństwo, wyjaśnia firma. Uniemożliwia niektórym aplikacjom korzystanie z usługi ułatwień dostępu, jeśli Advanced Tryb ochrony (APM) jest włączony.
Interfejs API ułatwień dostępu pozwala twórcom aplikacji zapewnić wsparcie użytkownikom z niepełnosprawnościami, którzy potrzebują dodatkowej pomocy w obsłudze telefonów. Aplikacje mogą korzystać z tego interfejsu API, aby na przykład uzyskiwać dostęp do ekranu w specyficzny sposób, sterować wprowadzaniem danych w imieniu użytkownika oraz korzystać z usług głosowych.
Niestety, podobnie jak w przypadku większości przydatnych narzędzi, zawsze znajdzie się ktoś, kto nadużyje ich i zepsuje wszystkim innym. Twórcy złośliwego oprogramowania od lat wykorzystują ten interfejs API, aby uzyskać dostęp do kont bankowych użytkowników. Usługa ułatwień dostępu ma ogromne możliwości: każda aplikacja posiadająca uprawnienia do korzystania z niej może odczytywać zawartość ekranu.
Wiele Android Trojany bankowe to nic innego jak wrappery API ułatwiające dostęp, mające przestępcze zamiary. Kradną kody uwierzytelniania dwuskładnikowego (2FA), podszywają się pod ofiary i wysysają dane z kont ofiar, gdy te śpią.
Dominują dwie sztuczki. Pierwsza to fałszywe nakładki. Interfejs API dostępności pozwala umieszczać nakładki na ekranie innej aplikacji. Twórcy trojanów bankowych i kryptowalutowych mogą to wykorzystać do przechwytywania naciśnięć klawiszy (użytkownik sądzi, że po prostu loguje się do aplikacji bankowej, ale złośliwe oprogramowanie rejestruje wszystko, co wpisuje).
Drugim zagrożeniem jest nadużycie uprawnień. Gdy trojan zdobędzie Twoje hasła, może samodzielnie autoryzować transakcje.
Wzrosła liczba platform złośliwego oprogramowania wykorzystujących interfejs API dostępności. DroidLock wykorzystuje go do kradzieży danych osobowych użytkownika, a następnie żąda okupu. Albiriox wykorzystuje go do zainstalowania się i przekazania zdalnej kontroli atakującym znajdującym się na drugim końcu świata.
Widzieliśmy oba w grudniu i w zeszłym miesiącu Malwarebytes badacz Stefan Dasic zauważył złośliwy program nadużywający usług ułatwień dostępu, podszywający się pod fałszywą stronę Google Security.
„opcja ostateczna” Google’a
Google próbował już wcześniej ograniczyć niewłaściwe wykorzystanie API. W 2017 roku ostrzegł deweloperów, aby uzasadnili korzystanie z funkcji ułatwień dostępu, w przeciwnym razie ryzykują usunięciem aplikacji ze Sklepu Play. Deweloperzy się zbuntowali , a Google ustąpiło. Jednak w listopadzie 2021 roku firma zaczęła żądać formularzy zgód na korzystanie z API ułatwień dostępu. Android 12+ aplikacji.
Obecnie firma zaostrza swoje wymagania, wprowadzając bardziej rygorystyczne zasady dotyczące interfejsu API funkcji ułatwień dostępu. Aplikacje nie mogą już swobodnie włączać usług ułatwień dostępu za pomocą prostego znacznika programowego. Zamiast tego korzystać z nich będą mogły wyłącznie aplikacje, których głównym celem jest zapewnienie ułatwień dostępu.
Wśród przykładów podanych przez Google znajdują się czytniki ekranu, urządzenia sterujące za pomocą przełączników, sterowanie głosowe oraz wyświetlacze brajlowskie. Zgodnie z nowymi zasadami menedżery haseł ani aplikacje do automatyzacji nie mają już dostępu do interfejsu API dostępności.
Przynajmniej nie wtedy, gdy użytkownik ma włączoną funkcję APM.
Wprowadzona w maju ubiegłego roku funkcja APM stanowi odpowiednik trybu blokady firmy Apple. Zapewnia ona znacznie bardziej rygorystyczne zabezpieczenia użytkownikom, którzy ją włączą, utrudniając złośliwemu oprogramowaniu wykorzystanie ich słabych punktów.
Ceną za to dodatkowe zabezpieczenie jest bardziej ograniczona funkcjonalność. Na przykład instalowane będą tylko aplikacje z zaufanych źródeł, a przesyłanie danych przez USB jest ograniczone. Dostęp do interfejsu API funkcji ułatwień dostępu również został ograniczony.
W związku z tym można teraz pełnić rolę menedżera haseł albo narzędzia ułatwiającego dostęp, ale nie obu tych funkcji jednocześnie. Programiści, którzy wykorzystują funkcje ułatwień dostępu do zapewnienia wygody użytkowania, będą musieli znaleźć inne rozwiązanie.
Google przyznaje tym samym, że niektóre interfejsy API są zbyt niebezpieczne, by pozostawić je otwarte, nawet jeśli ucierpią na tym niektóre legalne aplikacje. Firma stawia na to, że większości użytkowników bardziej zależy na tym, by nie paść ofiarą kradzieży, niż na tym, by ich menedżer haseł korzystał z interfejsu API dostępności dla wygody.
Twórcy złośliwego oprogramowania, jak zawsze, dostosują się do nowych warunków. Na razie jednak Google znacznie utrudnił manipulowanie telefonami z włączoną funkcją APM.
Oszuści wiedzą o tobie więcej, niż ci się wydaje.
Malwarebytes Mobile Security Chroni Cię przed phishingiem, wiadomościami typu scam, złośliwymi witrynami i nie tylko. Dzięki wbudowanej funkcji Scam Guard, działającej w czasie rzeczywistym i opartej na sztucznej inteligencji.
