Virtualization-based Penetration Testing Study for Detecting Accessibility Abuse Vulnerabilities in Banking Apps in East and Southeast Asia
Diese Arbeit präsentiert eine empirische Studie über die Anfälligkeit von Banking-Anwendungen in Ost- und Südostasien gegenüber der FjordPhantom-Malware, indem sie analysiert, wie deren Virtualisierungs- und Hooking-Techniken Barrierefreiheitsdienste ausnutzen, um Sicherheitsmaßnahmen zu umgehen, und schlägt Strategien zur Erkennung und Entschärfung vor.
Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen
Das große Ganze: Ein digitaler Raubüberfall
Stellen Sie sich vor, Sie besitzen einen sehr sicheren Banktresor (Ihre Banking-App). Sie vertrauen ihm, weil er schwere Stahltüren, Alarme und Wachpersonal hat. Aber es gibt eine neue Art von Dieb namens FjordPhantom.
Dieser Dieb versucht nicht, die Tresortür aufzubrechen. Stattdessen lockt er Sie dazu, eine spezielle unsichtbare Brille zu tragen (einen bösartigen Barrierefreiheitsdienst/Accessibility Service). Sobald Sie diese Brille tragen, kann der Dieb alles sehen, was Sie tippen, jeden Bildschirm lesen, den Sie betrachten, und sogar Knöpfe für Sie drücken – während er vorgibt, ein hilfreicher Assistent zu sein.
Das Beängstigende daran? Der Banktresor hat einen Wachmann, der eigentlich diese „unsichtbare Brille“ erkennen und verhindern soll, dass Sie sie tragen. FjordPhantoms Superkraft besteht darin, dass er die Brille verstecken kann, damit der Wachmann sie nicht sieht.
Wie der Angriff funktioniert (Der „Zauberkiste“-Trick)
Die Arbeit erklärt, dass FjordPhantom einen cleveren Trick namens Virtualisierung verwendet.
- Der Aufbau: Stellen Sie sich vor, Sie haben ein Spielzeugauto (Ihre Banking-App). Normalerweise fährt das Spielzeugauto auf dem Boden (dem Betriebssystem Ihres Telefons).
- Die Falle: FjordPhantom baut eine Zauberkiste (einen virtuellen Container) um das Spielzeugauto herum. Jetzt fährt das Auto innerhalb der Kiste, nicht direkt auf dem Boden.
- Der Versteckspiel-Akt: Da das Auto in der Kiste ist, kann die Kiste dem Auto zuflüstern und sagen: „Suche nicht nach der unsichtbaren Brille; sie ist nicht da.“ Die Kiste täuscht auch den Sicherheitswachmann der Bank, indem sie ihm vorgaukelt, das Auto sei sicher.
- Der Diebstahl: Sobald der Wachmann getäuscht ist, greift der Dieb (die Malware) durch die Kiste hindurch, erfasst Ihre Bildschirmdaten und stiehlt Ihre Passwörter.
Die Studie: Die Banken testen
Die Forscher (ein Team aus Universitäten und einem Cybersicherheitsunternehmen) wollten sehen, wie viele Banken in Ost- und Südostasien anfällig für diesen speziellen Trick sind. Sie behandelten dies wie einen „Penetrationstest“ – im Grunde haben sie einen White-Hat-Hacker engagiert, um zu versuchen, in die Banken mit genau dieser Methode einzubrechen, um zu sehen, ob sie es schaffen können.
Die Ergebnisse:
- Sie testeten 83 Banking-Apps aus 7 Ländern (wie Singapur, Indonesien, Japan, Korea usw.).
- Die schlechten Nachrichten: Etwa 43 % dieser Apps (ungefähr 36 von 83) waren anfällig. Das bedeutet, wenn ein Nutzer eine „FjordPhantom-eingepackte“ Version dieser Apps herunterlädt, könnte der Dieb seine Daten stehlen.
- Die Auswirkungen: Da diese Apps über 405 Millionen Mal heruntergeladen wurden, schätzen die Forscher, dass 225 Millionen Menschen in der Region gefährdet sind, falls sie versehentlich die gefälschte Version installieren.
- Länderunterschiede:
- Singapur hatte die höchste Anfälligkeit (75 % der getesteten Apps waren schwach).
- Japan und Korea hatten die geringste Anfälligkeit (nur etwa 12–15 % waren schwach).
Warum überleben manche Banken? (Die Rüstung)
Die Forscher untersuchten, welche „Rüstung“ die Banken trugen. Sie fanden heraus, dass einige Apps über Hardening-Maßnahmen verfügten (Sicherheitsschichten wie Code-Obfuskation oder Anti-Tampering).
- Die „Anti-VM“-Rüstung: Viele Apps hatten einen Schutzschild, der speziell darauf ausgelegt war, zu erkennen, ob sie innerhalb einer „Zauberkiste“ (virtuellen Maschine) laufen. Die Studie stellte jedoch fest, dass dieser Schutzschild oft versagte. Selbst mit diesem Schild wurden 57 % der Apps Opfer des Angriffs.
- Die „Anti-Disassembly“-Rüstung: Dies ist ein Schutzschild, der es Hackern erschwert, den Code der App zu lesen. Überraschenderweise waren Apps mit diesem speziellen Schutz viel besser darin, dem Angriff zu widerstehen (78 % waren sicher).
- Mehr Rüstung, desto besser: Im Allgemeinen galt: Je mehr Sicherheitsschichten eine App hatte, desto schwieriger war es für FjordPhantom, einzubrechen.
Wie man es behebt (Die Lösung)
Die Arbeit schlägt zwei Hauptwege vor, um dies zu stoppen:
- Google Play Protect (Der externe Wachmann): Googles Sicherheitssystem scannt Apps, bevor Sie diese herunterladen. Wenn FjordPhantom bekannt ist, wird Google es blockieren. Die Arbeit stellt jedoch fest, dass der Schutz verschwindet, wenn ein Nutzer den Google-Wächter absichtlich ausschaltet (um beispielsweise ein modifiziertes Spiel zu installieren).
- Automatisierte Härtung (Der interne Leibwächter): Dies ist die Hauptempfehlung der Arbeit. Anstatt darauf zu warten, dass Google den Dieb erwischt, sollte die Bank einen Leibwächter direkt in den Code der App einbauen während der Erstellung.
- Die Forscher arbeiteten mit einem Unternehmen namens Promon zusammen, um zu zeigen, wie das funktioniert.
- Stellen Sie sich eine Fabrik-Montageband vor (die CI/CD-Pipeline). Jedes Mal, wenn ein Entwickler einen Codeabschnitt fertigstellt, durchläuft er automatisch eine Maschine, die ihn in eine unzerbrechliche Rüstung (Obfuskation, Anti-Tampering usw.) hüllt, bevor er an den Nutzer gesendet wird.
- Dies stellt sicher, dass selbst wenn ein Hacker versucht, die App in eine „Zauberkiste“ zu legen, der interne Leibwächter der App schreit: „Hey! Ich werde beobachtet!“ und den Angriff stoppt.
Zusammenfassung
Die Arbeit warnt davor, dass ein raffinierter digitaler Dieb (FjordPhantom) „Zauberkisten“ nutzt, um sich vor den Sicherheitswächtern in Banking-Apps in ganz Asien zu verstecken. Während etwa die Hälfte der getesteten Apps anfällig war, besteht die Lösung nicht nur darin, zu hoffen, dass Google den Dieb erwischt. Die wahre Lösung besteht darin, dass Banken während des Entwicklungsprozesses selbstverteidigende Rüstungen direkt in ihre Apps einbauen, was es dem Dieb unmöglich macht, die „unsichtbare Brille“ zu verbergen.
Ertrinken Sie in Arbeiten in Ihrem Fachgebiet?
Erhalten Sie tägliche Digests der neuesten Arbeiten passend zu Ihren Forschungsbegriffen — mit technischen Zusammenfassungen, in Ihrer Sprache.