Google reprime aplicativos Android que abusam de acessibilidade

O Google acaba de lançar uma bomba para desenvolvedores de aplicativos com a versão mais recente de seu sistema operacional móvel Android. A empresa agora pode impedir a instalação de aplicativos caso tentem usar os recursos de acessibilidade do sistema.

O novo desenvolvimento, ao vivo na versão 17.2 do Android, tem tudo a ver com segurança, explica a empresa. Ele impede que certos tipos de aplicativos usem o serviço de acessibilidade se o Modo de proteção avançada (APM) estiver ativado.

A API de acessibilidade permite que os desenvolvedores de aplicativos apoiem usuários com deficiência que precisam de ajuda extra para usar seus telefones. Os aplicativos podem usar essa API para acessar a tela de maneiras exclusivas, controlar a entrada do usuário e usar serviços de voz, por exemplo.

Infelizmente, como acontece com a maioria das ferramentas úteis, alguém sempre encontrará uma maneira de usá-las indevidamente e arruiná-las para todos os outros. Os desenvolvedores de malware usam essa API há anos como forma de acessar sua conta bancária. O serviço de acessibilidade tem muito poder: qualquer aplicativo com permissão para usá-lo pode ler o que está na tela.

Muitos Trojans bancários para Android são pouco mais do que wrappers de API de acessibilidade com intenções criminosas. Eles roubam códigos 2FA, se fazem passar por vítimas e drenam contas enquanto as vítimas dormem.

Dois truques dominam. O primeiro é sobreposições falsas. A API de acessibilidade permite colocar sobreposições na tela de outro aplicativo. Os desenvolvedores de Trojans bancários e de criptomoeda podem usar isso para capturar suas teclas digitadas (você pensa que está apenas fazendo login em seu aplicativo bancário, mas o malware está coletando tudo o que você digita).

O segundo é abuso de permissão. Assim que o Trojan tiver suas senhas, ele poderá autorizar suas próprias transações.

O número de estruturas de malware que aproveitam a API de acessibilidade cresceu. DroidLock o usa para roubar seus dados pessoais antes de exigir um resgate. Albiriox o utiliza para se instalar e fornecer controle remoto a invasores do outro lado do mundo.

Vimos ambos em dezembro e, no mês passado, Stefan Dasic, pesquisador da Malwarebytes, notou um programa de malware que abusa de serviços de acessibilidade se passando por uma página falsa de segurança do Google.

A opção nuclear do Google

O Google já tentou conter o uso indevido da API. Em 2017, alertou os desenvolvedores para justificarem o uso de recursos de acessibilidade ou correrem o risco de serem removidos da Play Store. Desenvolvedores revoltadoe o Google cedeu. Mas então, em novembro de 2021, começou exigente formulários de permissão para uso da API de acessibilidade para aplicativos Android 12+.

Agora a empresa está ficando ainda mais difícil, fazer cumprir regras de API de acessibilidade mais rígidas. Os aplicativos não podem mais ativar gratuitamente serviços de acessibilidade usando um simples sinalizador de software. Em vez disso, apenas aplicativos cujo objetivo principal seja a acessibilidade poderão usá-lo.

Os exemplos do Google incluem leitores de tela, interruptores de entrada, controles de voz e monitores Braille. Com essas novas regras, os gerenciadores de senhas ou aplicativos de automação não acessam mais a API de acessibilidade.

Pelo menos não se o usuário tiver o APM ativado.

Lançado em maio do ano passado, o APM é a versão do Google do Lockdown Mode da Apple. Ele introduz controles de segurança muito mais rígidos para as pessoas que o ativam, dificultando a exploração por malware.

A compensação por essa segurança extra é uma funcionalidade mais limitada. Por exemplo, apenas aplicativos de fontes confiáveis ​​serão instalados e a transferência de dados via USB será restrita. O acesso à API de acessibilidade agora também é restrito.

Então agora você pode ser um gerenciador de senhas ou uma ferramenta de acessibilidade, mas não ambos. Os desenvolvedores que dependem de acessibilidade para recursos de conveniência precisarão encontrar outro caminho.

O Google reconhece que algumas APIs são perigosas demais para serem deixadas abertas, mesmo que alguns aplicativos legítimos sejam prejudicados. A empresa aposta que a maioria dos usuários se preocupa mais em não ser roubado do que em fazer com que seu gerenciador de senhas use a API de acessibilidade por conveniência.

Os autores de malware se adaptarão, como sempre. Mas, por enquanto, o Google tornou os telefones com APM ativado muito mais difíceis de mexer.

Não informamos apenas sobre a segurança do telefone: nós a fornecemos

Os riscos de cibersegurança nunca devem ultrapassar as manchetes. Mantenha as ameaças longe de seus dispositivos móveis baixando o Malwarebytes para iOS e o Malwarebytes para Android hoje mesmo.