Mobil Təhdid Mənzərəsi: Android Accessibility API-nin Silahlaşdırılması
Android əməliyyat sisteminin “Əlçatanlıq Xidmətləri” (Accessibility Services) ilkin olaraq fiziki və ya vizual məhdudiyyəti olan istifadəçilərin cihazla qarşılıqlı əlaqəsini asanlaşdırmaq məqsədilə layihələndirilib. Bu API sistemi ekranda baş verən hər bir hadisəni (UI event) oxumaq, daxil edilən mətnləri qeydə almaq, düymələri avtomatik sıxmaq və digər tətbiqlərin üzərində vizual qatlar formalaşdırmaq səlahiyyətinə malikdir. Lakin bu geniş səlahiyyət spektri uzun illərdir ki, mobil platformalar üçün ən təhlükəli hücum vektorlarından birinə çevrilib.
Kibertəhlükəsizlik analitiklərinin müşahidələrinə görə, müasir bank troyanlarının (məsələn, TeaBot, SharkBot, Godfather və Anatsa ailələri) demək olar ki, 90%-dən çoxu əsas hücum zəncirini məhz Accessibility API üzərində qurur. İstifadəçi sosial mühəndislik fəndləri ilə bu xidməti aktivləşdirdiyi anda, tətbiq cihaz üzərində faktiki olaraq tam nəzarət əldə edir və Android-in tətbiq təcridetmə (sandbox) mexanizmlərini faktiki olaraq heçə endirir.
Zərərvericilərin Sui-istifadə Mexanizmləri
- Açar Vuruşlarının Qeydə Alınması (Keylogging): Zərərverici tətbiq klaviaturadan daxil edilən hər bir simvolu (şifrələr, PİN kodlar, kart rekvizitləri) heç bir əlavə xüsusi icazə tələb etmədən real vaxt rejimində qeyd edir.
- Avtomatlaşdırılmış Köçürmə Sistemləri (ATS – Automated Transfer Systems): Bank tətbiqi açıldıqda, troyan arxa planda istifadəçinin xəbəri olmadan bank köçürmə əmrlərini icra edir, daxil edilmiş məbləği və təyinat hesabını öz xeyrinə dəyişir.
- 2FA və OTP Kodlarının Ələ Keçirilməsi: Ekranda görünən bildirişləri və SMS mətnlərini oxuyaraq autentifikasiya kodlarını anında zərərvericinin C2 (Command and Control) serverinə ötürür.
- Statik Təhlükəsizlik Xəbərdarlıqlarının Kənarlaşdırılması: İstifadəçi cihazdan zərərverici tətbiqi silməyə çalışarkən “Sil” düyməsinin basılmasını proqram təminatı səviyyəsində dərhal bloklayır və ya ana ekrana qayıdır.
Android 17 ilə Gələn İnqilabi Baryer: Təsdiqlənmiş Alətlər Ekosistemi
Google, illərdir davam edən bu kritik boşluğu aradan qaldırmaq məqsədilə Android 17 versiyasında “Advanced Protection” (Təkmil Mühafizə) rejiminin iş prinsipinə sərt dəyişikliklər tətbiq edir. Yeni arxitekturaya əsasən, bu rejim aktiv olduqda Əlçatanlıq Xidmətləri yalnız Google tərəfindən rəsmi olaraq yoxlanılmış, kriptoqrafik olaraq imzalanmış və xüsusi auditdən keçmiş əlçatanlıq alətləri üçün əlçatan olacaq.
Bu yenilik xüsusilə üçüncü tərəf mənbələrdən quraşdırılan (sideloading) APK fayllarının və ya Play Store-un avtomatlaşdırılmış filtrlərindən yayına bilən “dropper” tipli proqramların hücum potensialını minimuma endirir. Artıq təsdiqlənməmiş heç bir tətbiq istifadəçini aldadaraq bu xüsusi API-yə çıxış əldə edə bilməyəcək.
Texniki Müqayisə: Təhlükəsizlik Siyasətinin Təkamülü
| Xüsusiyyət | Android 13–16 (Mövcud Model) | Android 17 (Advanced Protection Aktiv) |
|---|---|---|
| Sideloaded Tətbiqlər üçün İcazə | İstifadəçi “Məhdudlaşdırılmış tənzimləmələr” menyusundan əl ilə aça bilir. | Sistem səviyyəsində qəti şəkildə bloklanır; bypass mümkün deyil. |
| Tətbiq Təsdiqi (Verification) | Play Protect-in əsas skanlama alqoritmi ilə məhdudlaşır. | Kriptoqrafik metadata və təsdiqlənmiş əlçatanlıq sertifikatı tələb olunur. |
| ATS və Overlay Müdafiəsi | Qismən (Flag secure və hədəf SDK məhdudiyyətləri ilə). | Tam izolyasiya: Yalnız təsdiqlənmiş utilitlər UI hadisələrini oxuya bilər. |
| Korporativ İdarəetmə (MDM) | Mürəkkəb siyasətlər və xüsusi blacklist tələb edir. | Tək bir siyasət (policy) vasitəsilə tam bloklama təmin edilir. |
Korporativ Təhlükəsizlik və MDM/MAM Sistemlərinə Təsiri
Müəssisə səviyyəsində (Enterprise) bu dəyişiklik korporativ təhlükəsizlik arxitekturasına əhəmiyyətli dərəcədə müsbət təsir göstərəcək. BYOD (Bring Your Own Device) və COPE (Corporate-Owned, Personally-Enabled) modellərində mobil cihazlar korporativ şəbəkəyə daxil olmaq üçün ən zəif həlqə hesab olunurdu. İşçilərin ehtiyatsızlıqdan cihazlarına yüklədikləri zərərverici proqramlar Accessibility API vasitəsilə korporativ VPN şifrələrini, SSO sessiya tokenlərini və e-poçt məlumatlarını ələ keçirə bilirdi.
MDM (Mobile Device Management) və EMM (Enterprise Mobility Management) inzibatçıları üçün Android 17-nin bu xüsusiyyəti yeni konfiqurasiya imkanları yaradır. Təşkilatlar Advanced Protection siyasətini bütün idarə olunan profillərə məcburi tətbiq edərək, daxili əlçatanlıq ehtiyaclarını yalnız sertifikatlaşdırılmış daxili alətlər vasitəsilə təmin edə biləcəklər.
Praktiki Nəzarət və Təhlükəsizlik Audit Əmrləri
Kibertəhlükəsizlik mütəxəssisləri və sistem inzibatçıları Android Debug Bridge (ADB) vasitəsilə cihazda aktiv olan və potensial risk daşıyan əlçatanlıq xidmətlərini yoxlaya və onları məcburi qaydada idarə edə bilərlər:
# Cihazda hazırda aktiv olan bütün Əlçatanlıq Xidmətlərinin siyahısını əldə etmək
adb shell settings get secure enabled_accessibility_services
# Şübhəli və ya təsdiqlənməmiş tətbiqin əlçatanlıq xidmətini dərhal deaktiv etmək
adb shell settings put secure enabled_accessibility_services com.android.talkback/.TalkBackService
# Tətbiqin təhlükəsizlik icazələrini və Advanced Protection statusunu yoxlamaq
adb shell dumpsys package com.example.suspiciousapp | grep -i accessibility
# Cihazda mövcud olan icazə məhdudiyyətlərini audit etmək
adb shell cmd appops get com.example.suspiciousapp ACCESS_RESTRICTED_SETTINGSBITEP Təhlil və Nəticə
Google-un Android 17-də Əlçatanlıq Xidmətlərini yalnız təsdiqlənmiş tətbiqlər üçün məhdudlaşdırmaq addımı gecikmiş, lakin son dərəcə zəruri bir təhlükəsizlik təkamülüdür. Bu dəyişiklik kiberfırıldaqçıların ən çox güvəndiyi “Accessibility abuse” modelini böyük ölçüdə sıradan çıxaracaq. Nəticədə, mobil bankçılıq tətbiqlərinin saxta köçürmələrdən qorunması təmin ediləcək, korporativ mühitdə isə sıfır etibar (Zero Trust) arxitekturasının mobil seqmenti daha da möhkəmlənəcəkdir.