Attacco TapTrap: come farti cliccare cose che nemmeno tua madre approverebbe

Redazione RHC : 11 Luglio 2025 11:05

TapTrap sfrutta le animazioni dell’interfaccia utente per aggirare il sistema di autorizzazioni di Android, consentendo di accedere a dati sensibili o di indurre l’utente a compiere azioni distruttive, come il ripristino delle impostazioni di fabbrica del dispositivo. L’attacco TapTrap è un tipo di tapjacking, l’equivalente mobile del clickjacking. In questi attacchi, l’aggressore induce l’utente a cliccare su un elemento apparentemente innocuo, ma che in realtà causa un’azione indesiderata in background.

Tuttavia, a differenza del tapjacking tradizionale con overlay, TapTrap può essere utilizzato anche da app con zero permessi, consentendo loro di avviare attività trasparenti apparentemente innocue su quelle dannose. Inoltre, questo metodo funziona anche su Android 15 e 16.

TapTrap è stato sviluppato da un team dell’Università Tecnica di Vienna (TU Wien) e dell’Università di Bayreuth. La nuova tecnica sarà presentata il mese prossimo al Simposio sulla Sicurezza USENIX. Tuttavia, i ricercatori hanno già pubblicato un white paper che descrive l’attacco e creato un sito web che ne illustra i dettagli principali.

Scarica Gratuitamente Byte The Silence, il fumetto sul Cyberbullismo di Red Hot Cyber "Il cyberbullismo è una delle minacce più insidiose e silenziose che colpiscono i nostri ragazzi. Non si tratta di semplici "bravate online", ma di veri e propri atti di violenza digitale, capaci di lasciare ferite profonde e spesso irreversibili nell’animo delle vittime.  Non possiamo più permetterci di chiudere gli occhi". Così si apre la prefazione del fumetto di Massimiliano Brolli, fondatore di Red Hot Cyber, un’opera che affronta con sensibilità e realismo uno dei temi più urgenti della nostra epoca.  Distribuito gratuitamente, questo fumetto nasce con l'obiettivo di sensibilizzare e informare. È uno strumento pensato per scuole, insegnanti, genitori e vittime, ma anche per chi, per qualsiasi ragione, si è ritrovato nel ruolo del bullo, affinché possa comprendere, riflettere e cambiare.  Con la speranza che venga letto, condiviso e discusso, Red Hot Cyber è orgogliosa di offrire un contributo concreto per costruire una cultura digitale più consapevole, empatica e sicura. Contattaci tramite WhatsApp al numero 375 593 1011 per richiedere ulteriori informazioni oppure alla casella di posta [email protected] Supporta RHC attraverso:   L'acquisto del fumetto sul Cybersecurity Awareness Ascoltando i nostri Podcast Seguendo RHC su WhatsApp Seguendo RHC su Telegram Scarica gratuitamente “Byte The Silence”, il fumetto sul Cyberbullismo di Red Hot Cyber Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì.

TapTrap sfrutta la gestione delle transizioni tra le attività da parte di Android mediante animazioni personalizzate per creare un’incoerenza visiva tra ciò che l’utente vede e ciò che accade realmente sullo schermo del dispositivo. Un’app dannosa installata sul dispositivo di destinazione avvia una schermata di sistema con informazioni sensibili (ad esempio una richiesta di autorizzazione o impostazioni di sistema) per conto di un’altra app chiamando startActivity() ed eseguendo un’animazione personalizzata con quasi totale trasparenza.

“La chiave di TapTrap è l’uso di animazioni che rendono l’attività target praticamente invisibile”, spiegano i ricercatori. “Questo risultato si ottiene tramite un’animazione personalizzata con i valori alfa iniziale e finale impostati su valori molto bassi, come 0,01. Questo rende l’attività dannosa o rischiosa quasi completamente trasparente. Inoltre, un’animazione zoom può essere utilizzata per ingrandire un elemento specifico dell’interfaccia (come un pulsante di autorizzazione) e visualizzarlo a schermo intero, aumentando la probabilità che l’utente lo tocchi.”

Sebbene il prompt avviato accetti tutti i tocchi, l’utente vede solo l’interfaccia principale dell’applicazione, sopra la quale si trova un’attività praticamente trasparente con la quale interagisce realmente. Credendo di avere a che fare con un’applicazione innocua, l’utente potrebbe cliccare su determinate aree dello schermo, senza rendersi conto che sta premendo pulsanti come “Consenti” o “Autorizza” in una finestra quasi invisibile.

Un video pubblicato dai ricercatori dimostra come un’app di gioco può utilizzare TapTrap per accedere alla telecamera tramite il browser Chrome per conto di un sito web. Per scoprire se TapTrap funzionasse con le app del Google Play Store, l’app store ufficiale di Android, i ricercatori hanno analizzato quasi 100.000 app. È emerso che il 76% di esse era vulnerabile perché conteneva attività che soddisfacevano le seguenti condizioni:

• possono essere avviati da un’altra applicazione;
• vengono eseguiti nello stesso task dell’applicazione chiamante;
• non sovrascrivere l’animazione di transizione;
• iniziare a rispondere alle azioni dell’utente prima che l’animazione sia completata.

Secondo i ricercatori, nell’ultima versione di Android le animazioni sono abilitate di default. A meno che l’utente non le disattivi tramite le impostazioni sviluppatore o le opzioni di accessibilità, il dispositivo rimane vulnerabile a TapTrap.

Sebbene l’attacco fosse stato inizialmente creato per Android 15 (la versione corrente all’epoca), in seguito, con il rilascio di Android 16, gli esperti hanno testato TapTrap anche su di esso. Il team ha quindi testato TapTrap su Google Pixel 8a con Android 16, e il problema si è riscontrato anche nell’ultima versione del sistema operativo. I rappresentanti di Google hanno dichiarato ai media che TapTrap verrà risolto in un futuro aggiornamento.

Redazione
La redazione di Red Hot Cyber è composta da un insieme di persone fisiche e fonti anonime che collaborano attivamente fornendo informazioni in anteprima e news sulla sicurezza informatica e sull'informatica in generale.

Lista degli articoli