Android-lek laat apps ongemerkt scherminhoud opnemen
Een kwetsbaarheid in Android zorgt ervoor dat kwaadaardige apps ongemerkt de inhoud van het scherm en systeemaudio kunnen opnemen. Google heeft het probleem in Android 8 gepatcht, maar versie 5.0 tot en met 7.1.2 zijn nog kwetsbaar. Dit komt neer op 78,7 procent van de ruim 2 miljard Android-apparaten.
Voorheen moesten applicaties rootrechten hebben of over de sleutels van het toestel beschikken om de scherminhoud op te nemen. In Android 5.0 heeft Google echter de MediaProjection-service geïntroduceerd waarmee app-ontwikkelaars de scherminhoud en systeemaudio kunnen opnemen. Het is niet langer vereist om rootrechten te hebben of de app met de sleutels van het toestel te signeren. Een app kan de MediaProjection-service aanroepen. Vervolgens verschijnt er een systeemvenster dat de gebruiker om toestemming vraagt.
Onderzoekers van securitybedrijf MWR Labs melden in een advisory (pdf) dat het mogelijk is om een venster boven het systeemvenster te tonen dat om toestemming vraagt. Dit onschuldig ogende venster kan de gebruiker zo op iets laten klikken waarmee de app de toestemming verkrijgt om de scherminhoud en systeemaudio op te nemen. In het onderstaande screenshot is de oorspronkelijke melding te zien, gevolgd door een overlay-venster dat er boven verschijnt en de gebruiker probeert te misleiden. Google werd in januari ingelicht en loste het probleem in augustus op met de lancering van Android 8.0. Android 5.0 tot en met 7.1.2 zijn nog kwetsbaar. Deze versies draaien volgens het Android Dashboard op 78,7 procent van de ruim 2 miljard Android-toestellen.
Reacties (17)
20-11-2017, 11:31 door
[Account Verwijderd]
-
Bijgewerkt: 20-11-2017, 11:31
[Verwijderd]
Door Neb Poorten:
Gewoon geen toestemming geven toch?
Een app kan de MediaProjection-service aanroepen. Vervolgens verschijnt er een systeemvenster dat de gebruiker om toestemming vraagt.
Gewoon geen toestemming geven toch?
Lezen:
Zie artikel:
het mogelijk is om een venster boven het systeemvenster te tonen dat om toestemming vraagt. Dit onschuldig ogende venster kan de gebruiker zo op iets laten klikken waarmee de app de toestemming verkrijgt om de systeeminhoud en systeemaudio op te nemen. In het onderstaande screenshot is de oorspronkelijke melding te zien, gevolgd door een overlay-venster dat er boven verschijnt en de gebruiker probeert te misleiden.
Door Neb Poorten:
Gewoon geen toestemming geven toch?
In een ander topic begrijp je de stof niet, en hier ook al niet. Even verder lezen nog.Een app kan de MediaProjection-service aanroepen. Vervolgens verschijnt er een systeemvenster dat de gebruiker om toestemming vraagt.
Gewoon geen toestemming geven toch?
Onderzoekers van securitybedrijf MWR Labs melden in een advisory (pdf) dat het mogelijk is om een venster boven het systeemvenster te tonen dat om toestemming vraagt. Dit onschuldig ogende venster kan de gebruiker zo op iets laten klikken waarmee de app de toestemming verkrijgt om de scherminhoud en systeemaudio op te nemen.
Steeds meer Google mono-cultuur en dus steeds meer Google gedreven applicaties en ook steeds meer Google in browsers (Firefox met webextension engine, en browser engine) maakt dat het ook nog eens een steeds aantrekkelijker aanvalsobject wordt en Google als het ware "verzuipt" in de aanvallen. Het wordt zo onderhand dweilen met de kraan open..
Nog veel meer Google valt te verwachten vanwege het onvolprezen mogelijk maken van de Amerikaanse totale surveillancestaat.
Allemaal te groot wordende commerciële techno spelers: zoals Google, Amazon, etc. en steeds een delicatere balans tussen verbeteren van de veiligheid van de infrastructuur en het op grote schaal onveilig maken door doorgeschoten doorzichtigheid.
Nog veel meer Google valt te verwachten vanwege het onvolprezen mogelijk maken van de Amerikaanse totale surveillancestaat.
Allemaal te groot wordende commerciële techno spelers: zoals Google, Amazon, etc. en steeds een delicatere balans tussen verbeteren van de veiligheid van de infrastructuur en het op grote schaal onveilig maken door doorgeschoten doorzichtigheid.
Ben blij dat ik nooit meer dan 1x geld heb uitgegeven voor zo'n 10" android tablet met versie 5.1
Die smartfoon hype is aan mijn voorbij gegaan, maar zo'n tablet leek mij wel handig.
En dat was meteen de laatste keer ook, dat ik geld ga uitgeven aan al die Android troep.
Wat een spijt heb ik daarvan, daar had ik nooit aan moeten beginnen.
Gelukkig niet meer dan €150,00. Anders zou ik er nog meer de pest in hebben.
Die smartfoon hype is aan mijn voorbij gegaan, maar zo'n tablet leek mij wel handig.
En dat was meteen de laatste keer ook, dat ik geld ga uitgeven aan al die Android troep.
Wat een spijt heb ik daarvan, daar had ik nooit aan moeten beginnen.
Gelukkig niet meer dan €150,00. Anders zou ik er nog meer de pest in hebben.
20-11-2017, 15:11 door
[Account Verwijderd]
-
Bijgewerkt: 20-11-2017, 16:41
[Verwijderd]
Door Neb Poorten:
Suggestief. Wat zou ik in dat andere topic niet begrijpen? Om welk topic gaat het?
Draw over other apps is een andere, aparte permissie. Die heb je dan ook al toegestaan? Wel een beetje uitkijken waar je toestemming voor geeft. Een dergelijke permissie heeft niet snel een geldige use case. Tegen zoveel domheid is geen kruid gewassen.
Door Anoniem:
Door Neb Poorten:
Gewoon geen toestemming geven toch?
In een ander topic begrijp je de stof niet, en hier ook al niet. Even verder lezen nog.Een app kan de MediaProjection-service aanroepen. Vervolgens verschijnt er een systeemvenster dat de gebruiker om toestemming vraagt.
Gewoon geen toestemming geven toch?
Suggestief. Wat zou ik in dat andere topic niet begrijpen? Om welk topic gaat het?
Door Anoniem:
Onderzoekers van securitybedrijf MWR Labs melden in een advisory (pdf) dat het mogelijk is om een venster boven het systeemvenster te tonen dat om toestemming vraagt. Dit onschuldig ogende venster kan de gebruiker zo op iets laten klikken waarmee de app de toestemming verkrijgt om de scherminhoud en systeemaudio op te nemen.
Draw over other apps is een andere, aparte permissie. Die heb je dan ook al toegestaan? Wel een beetje uitkijken waar je toestemming voor geeft. Een dergelijke permissie heeft niet snel een geldige use case. Tegen zoveel domheid is geen kruid gewassen.
Als een gemiddelde gebruiker van de meeste meldingen niets snapt, laat staan dat ze de kennis heeft om te begrijpen hoe iets werkt, geen aangeleerde intelligentie heeft om misbruik te doorzien, die gebruiker door slecht design van onbegrijpelijke meldingen door grote software boeren in de afgelopen 20 jaar is geconditioneerd tot doorklikken, die gebruiker al bij installatie van een app is geconditioneerd tot doorklikken bij een eula van dertig a4 tjes dat gewoonweg niet te lezen valt op een dergelijk klein schermpje ...
Wie er er dan eigenlijk dom?
Jij die de alledaagse realiteit niet wil en kan bevatten met alle extra's die je aan kennis hebt?
Of die grote meerderheid aan gebruikers die met een groot gebrek aan inzichten en kennis maar gebruiken wat ze hebben omdat het niet anders lijkt te kunnen?
Domheid is niet het hebben van geen kennis.
Domheid is wel anderen verwijten geen kennis te hebben, en dat is in dit geval wat jij aan het doen bent.
Daarnaast is het best aanvaardbaar het negeren van de realiteit als dom te beschouwen omdat met het verwijten van domheid je op zich het probleem niet oplost.
Misplaatst arrogant ook om je op een dergelijke wijze boven anderen te verheffen.
Wat voor werk doe jij eigenlijk dat je met een dergelijke opstelling denkt weg te komen?
Waarom denk je dat dit een constructieve maatschappelijke opstelling is?
Hoef de antwoorden niet te horen hoor, sta er bij stil, doe er wat mee, opdat we hier wat zinniger bijdragen gaan zien.
Jaren geleden een Galaxy S5 gekocht met Android 4.4.2 erop. Ik heb echter nog nooit een update ontvangen. Helaas want Android vind ik persoonlijk wel fijn. Mijn volgende toestel dan maar een iPhone?
Door Anoniem: Jaren geleden een Galaxy S5 gekocht met Android 4.4.2 erop. Ik heb echter nog nooit een update ontvangen. Helaas want Android vind ik persoonlijk wel fijn. Mijn volgende toestel dan maar een iPhone?
Ik heb een aantal maanden geleden een Nexus 5X op de kop getikt, nieuw voor 240 euro, draait 8.0 en de laatste updates zonder er naar om te kijken. Ik hou deze tot het volgende "budget" modal van Google uitkomt.Goedkoop, altijd up-to-date, en over de specs kan ik zeker niet klagen.
Ik heb zelf ooit een Samsung gehad, maar nooit meer, het is gewoon asociaal dat je "tot-de-deur"-support krijgt. Android is niet moeilijk op zo'n telefoon te updaten, ze zijn alleen te lui om hun eigen bloatware versies an te passen.
21-11-2017, 08:46 door
[Account Verwijderd]
[Verwijderd]
Door Anoniem:
Als een gemiddelde gebruiker van de meeste meldingen niets snapt, laat staan dat ze de kennis heeft om te begrijpen hoe iets werkt, geen aangeleerde intelligentie heeft om misbruik te doorzien, die gebruiker door slecht design van onbegrijpelijke meldingen door grote software boeren in de afgelopen 20 jaar is geconditioneerd tot doorklikken, die gebruiker al bij installatie van een app is geconditioneerd tot doorklikken bij een eula van dertig a4 tjes dat gewoonweg niet te lezen valt op een dergelijk klein schermpje ...
Wie er er dan eigenlijk dom?
Jij die de alledaagse realiteit niet wil en kan bevatten met alle extra's die je aan kennis hebt?
Of die grote meerderheid aan gebruikers die met een groot gebrek aan inzichten en kennis maar gebruiken wat ze hebben omdat het niet anders lijkt te kunnen?
Domheid is niet het hebben van geen kennis.
Domheid is wel anderen verwijten geen kennis te hebben, en dat is in dit geval wat jij aan het doen bent.
Daarnaast is het best aanvaardbaar het negeren van de realiteit als dom te beschouwen omdat met het verwijten van domheid je op zich het probleem niet oplost.
Misplaatst arrogant ook om je op een dergelijke wijze boven anderen te verheffen.
Wat voor werk doe jij eigenlijk dat je met een dergelijke opstelling denkt weg te komen?
Waarom denk je dat dit een constructieve maatschappelijke opstelling is?
Hoef de antwoorden niet te horen hoor, sta er bij stil, doe er wat mee, opdat we hier wat zinniger bijdragen gaan zien.
Door Neb Poorten:
Suggestief. Wat zou ik in dat andere topic niet begrijpen? Om welk topic gaat het?
Draw over other apps is een andere, aparte permissie. Die heb je dan ook al toegestaan? Wel een beetje uitkijken waar je toestemming voor geeft. Een dergelijke permissie heeft niet snel een geldige use case. Tegen zoveel domheid is geen kruid gewassen.
Door Anoniem:
Door Neb Poorten:
Gewoon geen toestemming geven toch?
In een ander topic begrijp je de stof niet, en hier ook al niet. Even verder lezen nog.Een app kan de MediaProjection-service aanroepen. Vervolgens verschijnt er een systeemvenster dat de gebruiker om toestemming vraagt.
Gewoon geen toestemming geven toch?
Suggestief. Wat zou ik in dat andere topic niet begrijpen? Om welk topic gaat het?
Door Anoniem:
Onderzoekers van securitybedrijf MWR Labs melden in een advisory (pdf) dat het mogelijk is om een venster boven het systeemvenster te tonen dat om toestemming vraagt. Dit onschuldig ogende venster kan de gebruiker zo op iets laten klikken waarmee de app de toestemming verkrijgt om de scherminhoud en systeemaudio op te nemen.
Draw over other apps is een andere, aparte permissie. Die heb je dan ook al toegestaan? Wel een beetje uitkijken waar je toestemming voor geeft. Een dergelijke permissie heeft niet snel een geldige use case. Tegen zoveel domheid is geen kruid gewassen.
Als een gemiddelde gebruiker van de meeste meldingen niets snapt, laat staan dat ze de kennis heeft om te begrijpen hoe iets werkt, geen aangeleerde intelligentie heeft om misbruik te doorzien, die gebruiker door slecht design van onbegrijpelijke meldingen door grote software boeren in de afgelopen 20 jaar is geconditioneerd tot doorklikken, die gebruiker al bij installatie van een app is geconditioneerd tot doorklikken bij een eula van dertig a4 tjes dat gewoonweg niet te lezen valt op een dergelijk klein schermpje ...
Wie er er dan eigenlijk dom?
Jij die de alledaagse realiteit niet wil en kan bevatten met alle extra's die je aan kennis hebt?
Of die grote meerderheid aan gebruikers die met een groot gebrek aan inzichten en kennis maar gebruiken wat ze hebben omdat het niet anders lijkt te kunnen?
Domheid is niet het hebben van geen kennis.
Domheid is wel anderen verwijten geen kennis te hebben, en dat is in dit geval wat jij aan het doen bent.
Daarnaast is het best aanvaardbaar het negeren van de realiteit als dom te beschouwen omdat met het verwijten van domheid je op zich het probleem niet oplost.
Misplaatst arrogant ook om je op een dergelijke wijze boven anderen te verheffen.
Wat voor werk doe jij eigenlijk dat je met een dergelijke opstelling denkt weg te komen?
Waarom denk je dat dit een constructieve maatschappelijke opstelling is?
Hoef de antwoorden niet te horen hoor, sta er bij stil, doe er wat mee, opdat we hier wat zinniger bijdragen gaan zien.
Amen
Het is inderdaad makkelijk met het vingertje wijzen, maar constructief meedenken blijkt in de praktijk een stuk lastiger...
21-11-2017, 10:35 door
[Account Verwijderd]
[Verwijderd]
Door Neb Poorten:
Begin eens met nadenken over onnodig quoten...
Door Anoniem:
Amen
Het is inderdaad makkelijk met het vingertje wijzen, maar constructief meedenken blijkt in de praktijk een stuk lastiger...
Door Anoniem: ... Hoef de antwoorden niet te horen hoor, sta er bij stil, doe er wat mee, opdat we hier wat zinniger bijdragen gaan zien.
Amen
Het is inderdaad makkelijk met het vingertje wijzen, maar constructief meedenken blijkt in de praktijk een stuk lastiger...
Begin eens met nadenken over onnodig quoten...
Goed idee, ga ik zeker eens overwegen!
22-11-2017, 03:48 door
Legionnaire
Niet alleen bij Android wordt er door een hack gebruik gemaakt van een Screenshot en de audio instellingen/ webcam. Tevens bij Microsoft en Apple wordt hier al heel lang gebruik van gemaakt, op elke hardware met een scherm en zonder dat men het ion de gaten heeft. Dit kan men merken aan zeer uit een lopende zaken, zoals...bij het opstarten een flikkering in het scherm. Updates komen niet of nauwelijks binnen, aLs men een volledige nieuwe installatie of een factory reset doet, het systeem nadiewnde configuratie precies hetzelfde is als voorheen. Een overduidelijke aanpassing is de aanwezigheid van een deel virtueel geheugen op je mobiel of tablet en deze niet aan te passen of te verwijderen is en zowel, na een reboot deze weer aanwezig is. Tevens controleer je wifi adapter en zal men zien dat er een VPN verbinding, via Bluetooth en IR is aangelegd en deze niet aan te passen is. Als dit het geval is de firmware in je modem/router ook aangepast en deze is na resetten of updaten niet te verwijderen en dan hebben ze zo volledige controle over alle hardware wat via deze verbinding loopt. Bij een pc kan mewn als eerste kijken of de BIOS is aangepast met een verouderde versie en er cache geheugen is aangemaakt. Als men bij de HDD kijkt; normaal IDE of SATA, is het nu een SCSI schijf geworden met tevens extra cache geheugen. Eenmaal volledig opgestart. Kijk bij apparaatbeheer en verborgen verbindingen, zal er een waslijst aan extra drivers en hardware staan, zoals IDEr naar SCSI driver, virtueelgeheugen, BIOS voor Windows en nog veel meer ellende. Tevens past men alle multimedia software aan, net als office. Virusscanner en meer om zo ongezien poorten open te zetten en toegang heeft. De Admin inloggegevens worden verborgen in gif/img of audiobestanden. Om hier zeker van te zijn en men heeft ervaring, probeer de ingebouwde Administator account via CMD te activeren en zal niet beschikbaar zijn en is verborgen in de SAM en er is helemaal niets aan te doen, tenzij men over een Pro MOBO beschikt en dan is het nog een hoop werk. Anders is er geen beginnen aan, gezien ze alles dicht getimmerd hebben en eenmaal verbonden, in no time via je router. Mobiel. Digitale tv. Ontvanger, gameconsole ,TV, WCD of via Hotsspot weer terug bij af bent. En zover zijn ze al een jaar alles aan het overnemen op Europees niveau en zijn alleen de 2 grootste providers, Netleverancier en Microsoft van op de hoogte van de grote van de omvang en zoekende naar een oplossing. Pas vorige week heeft men niets zeggende malware gevonden en helaas zich niet afgevraagd. Waarom het zo overduidelijk gevonden werd en niet afvragen waarom en verder gekeken. Hopelijk hierna wel en zal men er achter komen, dat er een overeen komst is tussen alle artikelen omtrent Cyber Security enz
23-11-2017, 03:07 door
[Account Verwijderd]
-
Bijgewerkt: 23-11-2017, 04:03
[Verwijderd]
Reageren
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
