Onderzoekers hebben een nieuwe aanval op Androidtoestellen gedemonstreerd die gebruik maakt van features en permissies van het mobiele besturingssysteem. Een patch om de aanval op te lossen zal er dan ook niet komen, zo heeft Google laten weten.

De onderzoekers van het Georgia Institute of Technology en de University of California noemen hun aanval "Cloak & Dagger". Via de aanval kan een kwaadaardige app de gebruikersinterface en uiteindelijk ook het apparaat volledig overnemen, zonder dat dit volgens de onderzoekers zichtbaar is voor de gebruiker. De aanval vereist slechts twee permissies, "System Alert Window" en "Bind Accessibility Service". Permissies waarmee een aanvaller kan aanpassen wat een gebruiker op het scherm te zien krijgt en gebruikersinvoer kan vervalsen.

In het geval de app via Google Play is gedownload hoeft de gebruiker de app geen toestemming te verlenen om de permissies te gebruiken en wordt hier ook niet over gewaarschuwd. Via de twee permissies is het mogelijk om "clicks" van de gebruiker te stelen, toestaanslagen en pincodes op te slaan, een "God-mode-app" te installeren, de telefoon te ontgrendelen, tweefactorauthenticatie-tokens te stelen en nog een aantal andere zaken. De permissies maken het voor de kwaadaardige app namelijk mogelijk om een overlay te gebruiken. Hierbij kan de app boven andere apps een scherm tonen, zonder dat dit voor de gebruiker zichtbaar is. Zo kunnen bijvoorbeeld toetsaanslagen worden gestolen.

Tijdens een onderzoek onder 20 personen bleek geen enkele deelnemer door te hebben wat er precies gebeurde. De onderzoekers waarschuwden Google vorig jaar augustus, maar na maanden van communiceren stelde Google dat het hier niet om een beveiligingsprobleem gaat en de features in kwestie naar behoren werken. Er zal dan ook geen oplossing komen. Gebruikers krijgen dan ook het advies om te controleren welke apps over de twee permissies beschikken. Het gaat hier echter om "speciale" permissies waardoor sommige Androidversies aangeven dat er geen permissies vereist zijn, ook al heeft de app wel toegang tot deze permissies.