Nuova falla di sicurezza per Android, in un periodo storico in cui gli exploit per il sistema operativo di casa Google sembrano moltiplicarsi di giorno in giorno: l’ultima scoperta sul fronte security è stata soprannominata “Cloak and Dagger” e sarebbe in grado di compromettere l’esperienza utente anche su sistemi aggiornati alla versione 7.1.2. Nougat.
Il nuovo bug permetterebbe di sfruttare gli elementi di design di Android ed i comportamenti dell’utente su schermo per monitorare l’attività in corso, ottenendo così l’accesso alle interazioni con app e siti protetti catturando con screenshot ciò che avviene sul display. Il proof of concept presentato permetterebbe di avviare operazioni di phishing, privare il dispositivo del controllo sui permessi, e la registrazione dei tasti premuti (keylogging) dall’utente.
“Cloak and Dagger” non è naturalmente visibile all’utente, ed a maggior ragione costituisce un’offesa alla privacy in quanto è in grado di installarsi senza notificare i permessi solitamente richiesti all’atto del download. Il bug, che deve essere ancora fixato ufficialmente, coinvolge tutte le versioni recenti di Android e dipende in massima parte da due servizi: SYSTEM_ALERT_WINDOW e BIND_ACCESSIBILITY_SERVICE, utilizzati dall’UI per predisporre elementi grafici durante la navigazione online.
In questo modo, sarebbe possibile creare un duplicato dei normali campi di immissione di username e password, ad esempio, in modo da estorcere all’utente dati personali: la differenza con le comuni text box sarebbe impercettibile, e consentirebbe una raccolta di informazioni pressoché infinita qualora l’user non interrompesse l’attività. Si aspettano quindi patch ufficiali da Google, ora avvertita del problema da parte dei tantissimi user Android che installano sui propri dispositivi le ultime versioni dell’OS.
