Google обяви нова мярка за сигурност, която ограничава достъпа до услугите за достъпност (accessibility services) на Android само до потвърдени приложения, класифицирани като „Инструменти за достъпност“ (Accessibility Tools), когато е включена функцията Advanced Protection.

Тъй като злонамерените Android приложения злоупотребяват с този API като основен канал за разпространение на зловреден код и финансови измами, технологичният гигант заяви, че тази стъпка ще блокира основен вектор на атака. Advanced Protection е настройка за сигурност, която активира всички функции за сигурност на Android, за да защити устройството от потенциални заплахи.

„В Android 17 активирането на Advanced Protection автоматично ограничава достъпа до AccessibilityService изключително до потвърдени приложения, категоризирани като Инструменти за достъпност, като по този начин затваря основен вектор на атака, запазвайки жизненоважните асистиращи технологии“, заявиха от Google в четвъртък.

API интерфейсът Android AccessibilityService е мощна рамка, която позволява на дадено приложение да работи във фонов режим, да прихваща събития от потребителския интерфейс и да взаимодейства с други приложения от името на потребителя.

Въпреки че основната му цел е да помага на потребители с увреждания (например чрез екранни четци или системи за гласов контрол), привилегированият му достъп често се злоупотребява от банкови троянски коне и шпионски софтуер за извличане на чувствителни данни и извършване на злонамерени действия без необходимост от root достъп.

Казано по друг начин, след като потребителят бъде подведен чрез социално инженерство да активира услугата, зловредният код може да превърне легитимните асистиращи функции в мощно кибероръжие, с което програмно да инициира измамни парични преводи от инсталирани финансови приложения, да записва натиснатите клавиши, да извежда фалшиви екрани за вход върху легитимни приложения и да си предоставя допълнителни чувствителни разрешения.

„Тъй като услугите за достъпност са проектирани да взаимодействат директно с екрана, злонамерените субекти могат да ги експлоатират, за да четат чувствителни данни, да инсталират зловреден код или да блокират деинсталирането“, заявиха от Google.

През последните години Google предприе редица стъпки за справяне с тази злоупотреба -

  • Блокиране на приложения, инсталирани от външни източници (sideloaded), от активиране на услуги за достъпност
  • Защити по време на разговор, които предотвратяват изключването на Google Play Protect, инсталирането на приложения от външни източници или предоставянето на разрешения за достъпност от страна на потребителите
  • Задаване на флага accessibilityDataSensitive, който позволява на разработчиците на приложения да маркират даден изглед или компонент като съдържащ чувствителни данни, за да се блокира достъпът на потенциално злонамерени приложения до тях или извършването на взаимодействия с тях
  • Използване на режима Android Advanced Protection Mode (AAPM) за предотвратяване на използването на API за услуги за достъпност от определени видове приложения

Заедно със защитата на услугите за достъпност, Android 17 носи и редица други подобрения в сигурността -

  • Intrusion Logging, което позволява персистентно криминалистично регистриране със защита на поверителността за разследване на сложни атаки със шпионски софтуер
  • USB Protection, което предотвратява получаването на неоторизиран достъп от атакуващи до вашето устройство чрез физическа USB връзка
  • Disable WebGPU, което намалява излагането на сложни експлойти, базирани на браузъра
  • Failed Authentication Lock, което предпазва от физическа намеса и опити за разбиване на пароли (brute-force), като напълно заключва устройството, за да предотврати по-нататъшни опити
  • View Supporting Apps, което позволява на потребителите да виждат кои инсталирани приложения са проверили състоянието на Advanced Protection

„Разработчиците могат да бъдат уведомявани, когато Advanced Protection е активиран, за да могат автоматично да включат всички функции, които имат за тази група потребители“, заявиха от Google. „Ако вече използвате Advanced Protection, ще получите известие, след като тези нови възможности пристигнат на вашето устройство. За да се възползвате от новите криминалистични възможности, отидете на страницата с настройки на Advanced Protection и ръчно активирайте Intrusion Logging.“