加利福尼亞大學聖塔芭芭拉分校和佐治亞理工學院的研究人員發現了一種新的Android漏洞，這些脆弱性被稱為“ Cloak＆Dagger”的利用。
Google被告知九個月前的漏洞利用，但是某些漏洞仍然存在，即使在最新的Android 7.1.2牛軋糖。這是因為某些合法應用程序使用了利用操縱的工具。
斗篷和匕首做什麼？
根據研究人員的說法攻擊允許惡意應用程序接管用戶界面反饋循環並獲得對受感染設備的控制，而用戶甚至不知道發生了此類攻擊。
利用用途兩個權限，即System_alert_window（“繪製在頂部”）和bind_accessibility_service（“ a11y”）。最佳權限的抽籤是Android覆蓋功能，該功能允許諸如Facebook Messenger和Samsung的多窗口之類的應用程序創建窗口，以創建用戶可以在其他應用程序之上最小化並四處移動的窗口。同時，可訪問性服務的權限截止了用戶輸入，例如擊鍵，以幫助用戶視力受損或聽力受損。
可以利用這些權限一起工作或單獨工作，以允許應用程序竊取文本輸入，其中可能包括密碼，機密信息和兩因素身份驗證代碼。當用戶將信息輸入應用程序時，他們不知道他們還將信息輸入另一層。這種攻擊被稱為點擊劫機。
使斗篷和匕首攻擊更加危險的是，這兩個被利用的許可不是Android 6.0 Marshmallow始於Android許可授予系統的一部分。惡意應用程序會自動授予最高權限的抽籤，從而使他們可以在Facebook和Android鍵盤等應用程序的頂部創建疊加層。
同時，由於攻擊者需要使用疊加層利用來激活它，因此可訪問性的許可更難利用。但是，一旦完成，就可以使用所謂的上帝模式應用程序從Android設備上啟動的任何應用程序中竊取數據。
如何保護自己免受斗篷和匕首的侵害
幸運的是，Cloak＆Dagger並不是一個積極的利用，也沒有報導黑客利用脆弱性的案例。也有一個完整的解決方案Android o。然而，Android用戶需要保持警惕才能保護自己。
最簡單的方法保護斗篷和匕首攻擊中的Android設備是在獲得最佳許可的情況下禁用平局。這可以通過輸入設置，在應用程序下的齒輪符號上點擊齒輪符號，然後選擇特殊訪問來完成。然後可以停用其他應用程序選項的繪製。
用戶還可以進入設置下的可訪問性菜單，並檢查在服務選項下需要A11Y的應用程序。
此外，強烈建議用戶遵循通常的提示，以保護其Android設備免受安全漏洞的侵害，首先是避免從不受信任的來源安裝隨機應用程序。
雖然Google和安全研究人員應追捕和修復諸如Cloak＆Dagger -exploit之類的漏洞，但用戶也分擔責任防止惡意軟件的傳播。
