用户界面欺骗

用户界面欺骗可用于诱骗用户向非预期实体提供敏感信息，如帐户凭据、银行帐户信息或个人身份信息 (PII)。

至少存在三种执行用户界面欺骗的方法：

首先，在 Android 和 iOS 上，攻击者可以冒充合法应用或设备功能的用户界面来欺骗用户输入敏感信息。限制移动设备的显示尺寸（与传统 PC 显示器相比）可能削弱向用户提供可以警告用户潜在问题的上下文信息（例如，显示完整网站地址）的能力。正如 PRE-ATT&CK（用于获取信息的鱼叉式网络钓鱼）所描述的那样，攻击者也可以在没有直接攻击者在场的情况下，在移动设备上执行这种形式的技术，例如通过欺骗网页。

其次，在 Android 和 iOS 上，恶意应用程序可以冒充另一个应用程序的身份（例如使用相同的应用程序名称和/或图标），并以某种方式安装在设备上（例如使用授权应用程序商店交付恶意应用程序技术 (Deliver
Malicious App via Authorized App
Store) 或通过其他方式交付恶意应用程序技术（Deliver Malicious App via
Other Means）)。恶意软件会提示用户输入敏感信息。

第三，在旧版本的 Android 上，恶意应用程序可能会滥用移动操作系统的功能，干扰正在运行的合法应用程序。 然而，从 Android 5.0 开始，这项技术似乎已经通过弃用 Android 的 ActivityManager.getRunningTasks 方法并修改其行为 处理了，并在 Android 5.1.1 中做了进一步的处理，以防止恶意应用程序确定前台的应用程序。

缓解

- 译者: 林妙倩、戴亦仑 . source:cve.scap.org.cn