Red Hot Cyber
La cybersecurity è condivisione. Riconosci il rischio, combattilo, condividi le tue esperienze ed incentiva gli altri a fare meglio di te.
Cerca

Attacco TapTrap: come farti cliccare cose che nemmeno tua madre approverebbe

Redazione RHC : 11 Luglio 2025 11:05

TapTrap sfrutta le animazioni dell’interfaccia utente per aggirare il sistema di autorizzazioni di Android, consentendo di accedere a dati sensibili o di indurre l’utente a compiere azioni distruttive, come il ripristino delle impostazioni di fabbrica del dispositivo. L’attacco TapTrap è un tipo di tapjacking, l’equivalente mobile del clickjacking. In questi attacchi, l’aggressore induce l’utente a cliccare su un elemento apparentemente innocuo, ma che in realtà causa un’azione indesiderata in background.

Tuttavia, a differenza del tapjacking tradizionale con overlay, TapTrap può essere utilizzato anche da app con zero permessi, consentendo loro di avviare attività trasparenti apparentemente innocue su quelle dannose. Inoltre, questo metodo funziona anche su Android 15 e 16.

TapTrap è stato sviluppato da un team dell’Università Tecnica di Vienna (TU Wien) e dell’Università di Bayreuth. La nuova tecnica sarà presentata il mese prossimo al Simposio sulla Sicurezza USENIX. Tuttavia, i ricercatori hanno già pubblicato un white paper che descrive l’attacco e creato un sito web che ne illustra i dettagli principali.

TapTrap sfrutta la gestione delle transizioni tra le attività da parte di Android mediante animazioni personalizzate per creare un’incoerenza visiva tra ciò che l’utente vede e ciò che accade realmente sullo schermo del dispositivo. Un’app dannosa installata sul dispositivo di destinazione avvia una schermata di sistema con informazioni sensibili (ad esempio una richiesta di autorizzazione o impostazioni di sistema) per conto di un’altra app chiamando startActivity() ed eseguendo un’animazione personalizzata con quasi totale trasparenza.


CALL FOR SPONSOR - Sponsorizza l'ottavo episodio della serie Betti-RHC

Sei un'azienda innovativa, che crede nella diffusione di concetti attraverso metodi "non convenzionali"? Conosci il nostro corso sul cybersecurity awareness a fumetti? Red Hot Cyber sta ricercando un nuovo sponsor per una nuova puntata del fumetto Betti-RHC mentre il team è impegnato a realizzare 3 nuovi episodi che ci sono stati commissionati.

Contattaci tramite WhatsApp al numero 375 593 1011 per richiedere ulteriori informazioni oppure alla casella di posta [email protected]



Supporta RHC attraverso:


Ti piacciono gli articoli di Red Hot Cyber? Non aspettare oltre, iscriviti alla newsletter settimanale per non perdere nessun articolo.


“La chiave di TapTrap è l’uso di animazioni che rendono l’attività target praticamente invisibile”, spiegano i ricercatori. “Questo risultato si ottiene tramite un’animazione personalizzata con i valori alfa iniziale e finale impostati su valori molto bassi, come 0,01. Questo rende l’attività dannosa o rischiosa quasi completamente trasparente. Inoltre, un’animazione zoom può essere utilizzata per ingrandire un elemento specifico dell’interfaccia (come un pulsante di autorizzazione) e visualizzarlo a schermo intero, aumentando la probabilità che l’utente lo tocchi.”

Sebbene il prompt avviato accetti tutti i tocchi, l’utente vede solo l’interfaccia principale dell’applicazione, sopra la quale si trova un’attività praticamente trasparente con la quale interagisce realmente. Credendo di avere a che fare con un’applicazione innocua, l’utente potrebbe cliccare su determinate aree dello schermo, senza rendersi conto che sta premendo pulsanti come “Consenti” o “Autorizza” in una finestra quasi invisibile.

Un video pubblicato dai ricercatori dimostra come un’app di gioco può utilizzare TapTrap per accedere alla telecamera tramite il browser Chrome per conto di un sito web. Per scoprire se TapTrap funzionasse con le app del Google Play Store, l’app store ufficiale di Android, i ricercatori hanno analizzato quasi 100.000 app. È emerso che il 76% di esse era vulnerabile perché conteneva attività che soddisfacevano le seguenti condizioni:

  • possono essere avviati da un’altra applicazione;
  • vengono eseguiti nello stesso task dell’applicazione chiamante;
  • non sovrascrivere l’animazione di transizione;
  • iniziare a rispondere alle azioni dell’utente prima che l’animazione sia completata.

Secondo i ricercatori, nell’ultima versione di Android le animazioni sono abilitate di default. A meno che l’utente non le disattivi tramite le impostazioni sviluppatore o le opzioni di accessibilità, il dispositivo rimane vulnerabile a TapTrap.

Sebbene l’attacco fosse stato inizialmente creato per Android 15 (la versione corrente all’epoca), in seguito, con il rilascio di Android 16, gli esperti hanno testato TapTrap anche su di esso. Il team ha quindi testato TapTrap su Google Pixel 8a con Android 16, e il problema si è riscontrato anche nell’ultima versione del sistema operativo. I rappresentanti di Google hanno dichiarato ai media che TapTrap verrà risolto in un futuro aggiornamento.

Redazione
La redazione di Red Hot Cyber è composta da un insieme di persone fisiche e fonti anonime che collaborano attivamente fornendo informazioni in anteprima e news sulla sicurezza informatica e sull'informatica in generale.

Lista degli articoli

Articoli in evidenza

Vibe Coding fuori controllo. L’IA Genera codice vulnerabile, ma tutti se ne fregano
Di Redazione RHC - 02/08/2025

L’intelligenza artificiale sta diventando sempre più un assistente per i programmatori, ma uno studio di Veracode ha dimostrato che la praticità comporta un rischio per la sicurezza. ...

Exploit RCE 0day/0click su iOS in vendita. Scopriamo il mercato delle armi cibernetiche per lo spionaggio
Di Redazione RHC - 01/08/2025

Un annuncio apparso su un forum online, datato 26 luglio 2025, ha catturato la nostra attenzione: un utente di nome “Bucad” pubblicizza la vendita di un “iOS RCE Exploit 0day | Ze...

Lovense scrive a Red Hot Cyber. Il CEO manda dei chiarimenti sulle vulnerabilità sicurezza
Di Redazione RHC - 01/08/2025

In relazione al nostro precedente articolo relativo ai bug di sicurezza rilevati sui dispositivi Lovesense (azienda leader leader nel settore dei dispositivi tecnologici per l’intimità), l...

Che cos’è il vibe coding? Scopriamo la nuova frontiera della Programmazione
Di Diego Corbi - 31/07/2025

“Ho bisogno di un sistema per gestire gli eventi della mia chiesa: volontari, iscrizioni, organizzazione degli eventi per la comunità”. Due settimane dopo aver scritto questo prompt...

Nokia sotto attacco: su DarkForums spunta in vendita il database di quasi 100.000 dipendenti
Di Redazione RHC - 31/07/2025

Un utente con il nickname Tsar0Byte ha pubblicato su DarkForums, uno dei forum underground più noti nell’ambiente cybercrime, un annuncio scioccante: la presunta compromissione di dati sen...