Los ataques contra dispositivos móviles están muy presentes y son muy variados. Los cibercriminales pueden tener objetivos como robar contraseñas, datos personales o tomar el control del dispositivo. En este artículo, nos hacemos eco de una campaña en la que utilizan una técnica novedosa contra móviles Android, para engañar a los usuarios y empezar a tener acceso a datos confidenciales.
Se trata de un tipo de ataque denominado TapTrap. Aprovecha la manera en la que Android gestiona las transiciones de actividad con animaciones personalizadas y crea una discrepancia visual entre lo que ve el usuario y lo que el dispositivo realmente registra. Esto permite que una actividad maliciosa o de riesgo, sea prácticamente transparente y la víctima no se da cuenta del problema.
Nueva estrategia para atacar dispositivos Android
En este descubrimiento han trabajado investigadores de seguridad de TU Wien y de la Universidad de Bayreuth y han presentado un informe. El próximo mes, en la conferencia de USENIX Security Symposium, presentarán todo con más detalle.
Esto funciona de la siguiente manera. Lo primero es que una aplicación maliciosa va a abrir una pantalla sensible del sistema, como puede ser la solicitud de permisos, configuración de Android, etc. Utiliza una animación personalizada de baja opacidad, por lo que va a resultar casi transparente y la víctima no lo ve.
Al mismo tiempo, aparece otra ventana encima que muestra algo distinto, algo que sí va a ver la víctima. Puede ser cualquier cosa, algo legítimo que utilice el usuario. Sin embargo, realmente va a estar interactuando con esa aplicación maliciosa, con una pantalla casi transparente. Si pulsa en el botón de aceptar descargar un archivo, por ejemplo, no lo ve, pero está cometiendo el error de bajar malware o aceptar permisos.
Por ejemplo, los atacantes podrían crear una aplicación maliciosa que solicite permisos para accede a la cámara, a los mensajes o cualquier cosa. Como es una ventana transparente, está aceptando eso sin darse cuenta, sin ser consciente del problema. Los investigadores demostraron cómo una aplicación de un videojuego podría aprovechar TrapTrap para habilitar el acceso a la cámara en una web a través de Chrome.
Muchas aplicaciones vulnerables
Estos investigadores realizaron numerosas pruebas para ver si las aplicaciones alojadas en Google Play, la tienda de aplicaciones oficiales de Android, podrían ser vulnerables. El análisis, cuyos resultados se publicarán en la prestigiosa conferencia USENIX Security Symposium, es contundente. Según el informe técnico original, los investigadores escanearon cerca de 100.000 aplicaciones de Google Play y descubrieron que un 76% de ellas son vulnerables a la técnica TapTrap al no gestionar correctamente las animaciones de transición.
Para que una aplicación pueda ser vulnerable a este tipo de ataque, debe cumplir una serie de requisitos:
- Puede ser iniciada por otra aplicación
- Se ejecuta en la misma tarea que la aplicación que la inicia
- No anula la transición de animación
- No espera a que la animación termine para reaccionar a la entrada del usuario
Estas animaciones vienen habilitadas de forma predeterminada en la última versión de Android, aunque los usuarios pueden configurarla, a través de las opciones de desarrollador o la configuración de accesibilidad. Realizaron pruebas en Android 15 y, posteriormente, en Android 16. En ambas versiones vieron que este problema existía.
Según indican desde Bleeping Computer, medio especializado en ciberseguridad, tras ponerse en contacto con Google, esperan tener una solución en un futuro para que los dispositivos móviles con Android no sean vulnerables a este tipo de problemas. Sin embargo, es importante destacar que, a fecha de publicación de este artículo, Google no ha emitido un comunicado oficial ni ha asignado un identificador de vulnerabilidad (CVE) para TapTrap. Esto sugiere que el problema está en fase de investigación y que la solución podría integrarse en futuros parches de seguridad de Android.