Hollantilaisen matkaviestintäverkkoyrityksen ThreatFabric turvallisuustutkijat olivat viime kuussa kertomuksessa väittäneet, että Android-pankkitroijalaisen Cerberuksen uusin versio pystyy varastaa kertaluonteisia salasanoja (OTP) Google Authenticator ja muut vastaavat sovellukset. Ihmiset Nightwatch-kyberturvallisuus ovat nyt paljastaneet uuden haavoittuvuuden, jota haitalliset sovellukset voivat käyttää varastamaan kertakoodeja Google Authenticatorilta.
Nightwatch Cybersecurityn julkaisema raportti paljastaa, että Android-laitteiden kelmi-sovellukset saattavat pystyä varastamaan kaikki luodut OTP-koodit Google Authenticator -sovellus, koska se sallii kuvakaappausten kertaluonteisista salasanoista. Se toteaa, että useat roistovaltiot käyttävät Androidin helppokäyttöisyyttä vetääkseen kuvakaappauksia käynnissä olevista sovelluksista. Tämä voidaan estää käyttämällä "FLAG_SECURE", mutta Google Authenticator ei valitettavasti käytä FLAG_SECURE-asetusta.
Verizon tarjoaa Pixel 4a: n vain 10 dollaria kuukaudessa uusille rajoittamattomille linjoille
Android-sovellukset ja tietyt alustapalvelut voivat kaapata näyttöjä muista käynnissä olevista sovelluksista MediaProjection-sovellusliittymän avulla. FLAG_SECURE-lipun avulla sovellusikkunan sisältöä käsitellään turvallisena, mikä estää sitä näkymästä kuvakaappauksissa.
Vaikka haavoittuvuutta kuvaava virheraportti on lähetetty Googlelle, sitä ei ole vielä korjattu. Virhe on edelleen olemassa Authenticator-sovelluksen uusimmassa versiossa.