Pułapka w ekranie
W klasycznych atakach tapjackingu przestępcy stosują nakładki na ekran, by nakłonić użytkownika do nieświadomego kliknięcia. TapTrap idzie o krok dalej – zamiast nakładek, sięga po animacje, które są tak subtelne, że trudno je zauważyć gołym okiem. W praktyce oznacza to, że złośliwa aplikacja może otworzyć poufny ekran systemowy – na przykład prośbę o nadanie uprawnień – i sprytnie go ukryć pod niemal niewidoczną warstwą. Użytkownik widzi wtedy tylko niewinne okno gry czy prostej aplikacji, nie wiedząc, że w tle dotyka wrażliwego przycisku „Zezwól”. Sercem TapTrapa jest sprytne manipulowanie przezroczystością. Wystarczy, że złośliwy program zdefiniuje animację, która sprawi, że systemowy monit staje się niemal całkowicie niewidoczny. Dodatkowo można powiększyć fragment interfejsu, tak by dotknięcie jednego punktu stało się dotknięciem całego ukrytego przycisku. Co więcej, TapTrap nie potrzebuje żadnych specjalnych uprawnień, więc łatwo umknie uwadze większości użytkowników, którzy podczas instalacji aplikacji nie zobaczą żadnych alarmujących komunikatów.
Nowy problem Google’a
Zespół, który ujawnił TapTrapa, pracował na najnowszych wersjach Androida – od piętnastki po szesnastkę. Testy prowadzone między innymi na popularnym Google Pixel 8a pokazały, że problem wciąż nie został rozwiązany. GrapheneOS, system znany z nacisku na prywatność, również potwierdził podatność Androida 16 na ten typ ataku i zapowiedział własną poprawkę. Na pytania o bezpieczeństwo Google odpowiada ostrożnie. Firma przyznała, że zna problem i obiecuje, że przyszła aktualizacja Androida wzmocni obronę przed podobnymi sztuczkami. Gigant z Mountain View twierdzi też, że zasady Google Play powinny ograniczać ryzyko – deweloperzy są zobowiązani do przestrzegania rygorystycznych standardów, a każda aplikacja, która je złamie, może zostać usunięta. Jednak badacze nie mają złudzeń: zasady zasadami, a podatność systemu i tak pozostaje. Z raportu wynika, że nawet 76% z blisko stu tysięcy przeanalizowanych aplikacji ze sklepu Play zawiera elementy, które można wykorzystać w ataku TapTrap. Wystarczy, że dana aplikacja pozwala na uruchomienie ekranów przez inne programy i nie wyłącza animacji przejść. Problem w tym, że domyślnie animacje w Androidzie są aktywne – mało kto w codziennym użytkowaniu je wyłącza, a tym bardziej nie zagląda do zakładki „Opcje programisty”.
