Cloak and Dagger ช่องโหว่ใหม่บน Android

Cloak and Dagger ช่องโหว่ใหม่บน Android ที่สามารถขโมยข้อมูลในมือถือได้โดยที่เราไม่รู้ตัว
นักวิจัยแห่ง UC Santa Barbara และ Georgia Tech ได้ค้นพบรูโหว่ใหม่สำหรับใช้โจมตีบนระบบปฏิบัติการ Android โดยเรียกรูโหว่นี้ว่า "Cloak and Dagger" (ผ้าคลุมและมีด) มันสามารถซ่อนตัวแอบขโมยข้อมูลบนสมาร์ทโฟนได้โดยที่เราไม่รู้ตัว รูโหว่นี้สามารถใช้ในการดักจับข้อมูลการพิมพ์, ติดตั้งแอพฯ และเปลี่ยนค่าต่างๆ ในเครื่องได้ โดยที่เจ้าของไม่รู้ตัวเลยแม้แต่น้อย

รูโหว่ Cloak and Dagge ใช้ประโยชน์จากความผิดพลาดใน Android UI มีการเรียกขออนุญาต (Permissions) SYSTEM ALERT WINDOW ("draw on top") และ BIND ACCESSIBILITY SERVICE ("a11y") ในการทำงาน ความอันตรายอยู่ตรงที่ระบบปฏิบัติการ Android ถูกกำหนดให้แอพฯส่วนใหญ่เปิดใช้งาน Draw-on-top ได้โดยอัตโนมัติอยู่แล้ว หากแฮกเกอร์สามารถหลอกให้เจ้าของสมาร์ทโฟนอนุญาต a11y ได้ รูโหว่ Cloak and Dagge จะเริ่มทำงานทันทีโดยที่เราไม่รู้ตัวแม้แต่น้อย

จากการทดสอบของนักวิจัย พบว่ารูโหว่นี้สามารถสร้างเหตุการณ์แจ้งเตือนแบบหลอกๆ, ปลดล็อคสมาร์ทโฟน และเข้าถึงแอพฯ ต่างได้ โดยที่หน้าจอยังคงถูกปิดเอาไว้อยู่ ซึ่งเป็นเรื่องที่อันตรายมากๆ 

ในขณะนี้ Google ได้รับข้อมูลรูโหว่นี้แล้ว และได้อัพเดทระบบตรวจสอบบน Google Play เพื่อป้องกันไม่ให้มีแอพฯ อันตรายหลุดรอดขึ้นไปบน Google Play และยังได้เพิ่มระบบรักษาความปลอดภัยแบบใหม่เข้าไปใน Android O อีกด้วย

สำหรับผู้ใช้งาน Android ก็ต้องระมัดระวังด้วยตัวเองด้วย หลีกเลี่ยงจากติดตั้งแอพฯ จากแหล่งอื่นที่ไม่ใช่ Google Play และอ่านรายละเอียดให้ชัดเจนทุกครั้งก่อนกดอนุญาตการเข้าถึงต่างๆ ที่แอพฯ เรียกร้อง หากพบความไม่ชอบมาพากล ก็อย่าอนุญาตเป็นอันขาด

ที่มา: