Explotación de capa y daga: lo que necesitas saber

Se ha presentado un nuevo exploit de Android llamado Cloak & Dagger y, fiel a su nombre, describe formas en que las aplicaciones mal intencionadas pueden aprovechar dos permisos de Android para robar pulsaciones de teclas y engañar a los usuarios para que divulguen información personal.

¿Pero es peligroso? Vamos a desglosarlo rápidamente.

¿Qué es Cloak & Dagger?

Cloak & Dagger es el nombre de una combinación de dos permisos explotables de Android que, cuando se usan de forma independiente o por separado a través de una aplicación mal intencionada, pueden tener consecuencias nefastas.

Fue publicado como prueba de concepto por un equipo de cuatro personas en el Instituto de Tecnología de Georgia y la Universidad de California, Santa Bárbara.

No es un exploit activo, y hasta la fecha no ha habido usos públicos conocidos.

¿Como funciona?

Según el equipo, Cloak & Dagger aprovecha dos permisos de Android: SYSTEM_ALERT_WINDOW ("dibujar en la parte superior") y BIND_ACCESSIBILITY_SERVICE ("a11y"), que, al trabajar juntos o por separado, hacen posible que una aplicación "escuche" y robar el ingreso de texto como contraseñas, números de autenticación de dos factores o datos personales.

Cloak & Dagger es una nueva clase de posibles ataques que afectan a los dispositivos Android. Estos ataques permiten que una aplicación maliciosa controle completamente el ciclo de retroalimentación de la interfaz de usuario y se haga cargo del dispositivo, sin darle al usuario la oportunidad de notar la actividad maliciosa. Estos ataques solo requieren dos permisos que, en caso de que la aplicación se instale desde Play Store, el usuario no necesita otorgar explícitamente y para lo cual ni siquiera se le notifica. Nuestro estudio de usuarios indica que estos ataques son prácticos.

El permiso "dibujar en la parte superior" se conoce como la función de superposición de Android y es utilizado por muchas aplicaciones como Facebook Messenger y la característica de Ventana múltiple de Samsung para habilitar las "ventanas" que se pueden minimizar y mover sobre otras aplicaciones.

¿Cómo funciona el exploit?

Debido a que ambos permisos no son parte del sistema de concesión de permisos explícitos de Android que comenzó en Android 6.0 Marshmallow, cuando se descarga una aplicación maliciosa, la aplicación puede otorgar automáticamente el permiso "dibujar en la parte superior".

Una vez que eso sucede, la aplicación, una vez abierta, puede crear una superposición en la parte superior de una aplicación conocida, como Facebook, para "ingresar phishing" como contraseñas. También puede superponerse en la parte superior del teclado de Android, recogiendo todo el texto ingresado.

El permiso de accesibilidad es un poco más difícil de forzar a un usuario a habilitar, pero el equipo dice que su prueba de concepto utilizó el permiso de superposición para engañar a los usuarios para que lo activen. Una vez que ambos están habilitados, una aplicación de "modo dios" puede potencialmente robar datos de cualquier aplicación utilizada en el teléfono.

Todos están afectados

Cloak & Dagger afecta a todas las versiones de Android, según el equipo, incluidos Android 5.0, 6.0 y 7.0, hasta la última versión de Android 7.1.2.

Android 7.0 y versiones posteriores hacen que sea un poco más difícil que algunas de las vulnerabilidades de superposición funcionen, pero aún puede evitarse algo de ingenio.

¿Deberías preocuparte?

En este momento, no hay aplicaciones conocidas que aprovechen estos permisos con fines maliciosos, aunque ahora que son públicas, eso puede cambiar. El equipo publicó la investigación para obligar a la mano de Google a mejorar la experiencia, ya que, a diferencia de otras vulnerabilidades de Android, estas vulnerabilidades aprovechan las fallas de diseño en los propios permisos, no agujeros o errores en el software.

Que puedes hacer para protegerte?

Esto no será un problema para usted si tiene cuidado con las aplicaciones que usa.

Muchas veces se hacen muchas fallas de seguridad de Android, pero Cloak & Dagger no es algo de lo que deba preocuparse siempre que tenga cuidado al otorgar permisos de superposición.

Para mitigar los posibles efectos de Cloak & Dagger, es una buena idea revisar qué aplicaciones pueden crear superposiciones en la parte superior de su sistema Android. En la mayoría de las versiones de Android, aquí se explica cómo hacerlo:

1. Abra la configuración de Android.
2. Desplácese hacia abajo y toque Aplicaciones.
3. Toca el ícono Menú o Cog.
4. Encuentra y toca Acceso especial. Suele estar bajo el encabezado "Avanzado".
5. Toque Dibujar sobre otras aplicaciones. Estas son las aplicaciones que pueden crear superposiciones utilizando el permiso anterior.
6. Desactiva cualquier aplicación que no reconozcas.

Más: Cómo desactivar la superposición de pantalla en el Galaxy S8

¡No entres en pánico!

En serio, esto no es un gran problema si tienes cuidado con las aplicaciones que descargas, especialmente porque Google ahora escanea 50 mil millones de aplicaciones en busca de malware todos los días usando su sistema Play Protect.

Con suerte, Google abordará este problema públicamente o al menos proporcionará alguna aclaración sobre lo que pretende hacer con las superposiciones de aplicaciones. Android O debería eliminar este problema por completo refactorizando el problema de superposición con una nueva API, pero no está claro cómo o si Google planea abordar la preocupación en versiones anteriores.