DKB-Banking App erkennt Root, trotz Magisk

[BOotnoOB]

Es gibt wohl keine Möglichkeit, einen gesperrten Bootloader zu faken, oder

Magisk Hide??

Beiträge automatisch zusammengeführt: 04.03.2021

Magisk can hide (<= Quelle)

• Magisk and most modules (it depends on what the module does).
• MagiskSU.
• Unlocked bootloader on device not using hardware backed key attestation (also see under "Magisk can not hide").
• [...]

 

[Master One]

@BOotnoOB, interessant, wusste das gar nicht, allerdings hilft es in diesem Fall auch nicht, da die App ja trotz aktuellem Magisk (v22.0 im Gleichstand mit aktuellem Magisk Canary 22001, mit MagiskHide auf die betreffend App angewandt) nicht funktioniert. Es wird dann aber wohl eher der Fall sein, dass die App auf einen anderen Umstand reagiert.

 

[Lupus]

Ist die App so geheim oder warum nennst du sie nicht?^^

 

[Master One]

@Lupus, sorry dachte nicht dass das relevant ist, da sowieso nur für die Benutzung in Österreich. Es handelt sich um die App Digitales Amt (mit vielfacher Kritik an diesem Unfug in den Google Play Store Reviews).

 

[Lupus]

Ich habs grade mal probiert. Die App installiert, die App in Magisk Hide versteckt und dann gestartet. Funktioniert soweit bei mir. Da scheinst du Recht zu haben dass die App evtl. auf was anderes reagiert.

 

[Master One]

@Lupus, also welches ROM und welche sonstigen verdächtigen Apps?

Bei mir ist es ArrowOS 11 (also basierend auf Android 11) auf einem POCO X3 NFC mit OrangeFox Recovery, AdAway (mit Magisk Systemless Hosts File), F-Droid (mit Privileged Extension Magisk Module), microG und AuroraStore (statt Google Play Services), sowie Bromite SystemWebView.

Die Magisk App ist versteckt, MagiskHide auf die "Digitales Amt" App angewandt, und auch ein Versuch mit Einfrieren von Magisk und AdAway hat nichts gebracht.

Nachdem ich alles andere zum Laufen gebracht habe, werde ich ganz sicher nicht auf irgendeine der essentiellen Bestandteile verzichten, nur um diese blöde App zum Laufen zu bekommen. Wenn sich also keine einfache Lösung ergibt, dann eben kein "Digitales Amt".

 

[Lupus]

Ich habe Oxygen OS 11 mit nem OP7T. "Verdächtig" wäre bei mir sonst nur Titanium / Swift Backup. Evtl. werden andere Sachen noch gecheckt. Selinux zB auf permissive ist eine große Sicherheitslücke. Evtl. noch nen Ordner Namens Magisk im SD Root? Ansonsten keine Ahnung.

DKB Tan geht, lasse ich aber bewusst auf nen alten Stand.

 

[Master One]

@Lupus, OxygenOS ist ja auch kein Custom ROM. Titanium/Swift Backup benutze ich nicht, habe stattdessen OAndBackupX. SElinux ist auf enforcing, kein Magisk Ordner vorhanden.

Tja, da wird man wohl nichts machen können, denn mehr als das, was ich bereits probiert habe, fällt mich auch nicht mehr ein.

 

[BOotnoOB]

mit vielfacher Kritik an diesem Unfug

Ob diese Kritik wirklich gerechtfertigt ist? Es ist zwar nervig mit den Root-Checks, aber nachvollziehbar. Behördengänge und Bankgeschäfte sind zwei Bereiche, in denen es um höchst sensibel, persönliche Daten geht. Dabei darfst du nicht vergessen, dass die jeweilige App als Plattform der Bank/Behörde angesehen werden muss. Alles, was dort geschieht, unterliegt den Rechten und v.a. den Pflichten des Betreibers. Wenn durch die App ein Abgreifen von Daten möglich gemacht wird, kann das immensen Schaden nach sich ziehen. Wobei du selber natürlich an zweiter Stelle stehst, gleich nach den ggf. zu erwartenden Schadensersatzansprüchen, die sich daraus ergeben könnten.

 

[Master One]

@BOotnoOB, natürlich ist der "Unfug" nachvollziehbar, und dennoch ist Kritik IMMER gerechtfertigt!

Ein gerootes Handy mit entsperrtem Bootloader und Open Source Custom ROM & Software ist nicht automatisch unsicherer als ein Handy mit proprietärer Software. Es sollte trotz allem dem User überlassen werden, was er damit macht.

Am Computer/Laptop sind Passwörter und sonstige Daten normalerweise auch einfach zugänglich, und es würde (hoffentlich) auch niemand auf die Idee kommen, die Nutzung einer bestimmten Software an eine bestimmte Version des Betriebssystems oder aktives Secure Boot zu koppeln.

 

[BOotnoOB]

@Master One Meine Handys haben auch alle Root und das macht ein Handy auch nicht sofort unsicher. Das sehe ich genau so. Meine Bankingapp ist kompatibel bis Android 6 und da frage ich mich, welchen Security Patch solch ein Gerät wohl noch hat? 2018 oder 2019 vllt.?

Zu deinem Problem: Die Custom ROM alleine könnte schon das Problem sein. Die Root-Checks beschränken sich schon länger nicht mehr auf das Abfragen des Dateisystems nach verdächtigen Schlüsselwörtern. Das hat man letztes Jahr ganz deutlich gemerkt, als die Canary von Magisk bei vielen geholfen hat. Die Installation dieser Version löscht ja nicht automatisch alle verdächtigen Dateien zu 100% von deinem Handy, so dass die Apps wieder laufen. Also wird offensichtlich noch mehr dahinter stecken.

 

[BOotnoOB]

@Master One Schau mal hier:

Magisk und S-pushTan

 

[Master One]

@BOotnoOB, identische Thematik. Sollte nichts mit SafetyNet zu tun haben (welches mit microG schon seit einiger Zeit nicht mehr klappt). Ansonsten schon alles ohne Erfolg probiert, das dort geschrieben wurde. Hatte auch die Developer Options und USB Debugging in Verdacht, eine Deaktivierung brachte aber ebenfalls keine Änderung.

 

[Scum]

@Lupus,
Die Magisk App ist versteckt, MagiskHide auf die "Digitales Amt" App angewandt, und auch ein Versuch mit Einfrieren von Magisk und AdAway hat nichts gebracht.

Hast du Magisk vor verstecken umbenannt von mir aus in Meister oder xyz,123 zbsp.?

 

[Master One]

@Scum, ja.

 

[Scum]

Frage nur da bei mir damals das umbenennen weitergeholfen hatte...

 

[pzYsTorM]

Für das neueste DKB Tan2Go Update gibts für mich noch eine bessere Lösung (statt freeze trick):
Einfach im Magisk Manager die Option "Superuser -> Automatisch beantworten -> verweigern" setzen.
Dann startet die App wieder ohne Probleme.

 

[Master One]

@pzYsTorM, gerade hier getestet, klappt bei mir aber nicht (zumindest nach einem Neustart bzw. Clear Cache).

 

[Maheshwara]

Bei mir funktioniert das auch nicht.

 

[BOotnoOB]

@pzYsTorM Bei mir auch nicht. Erkenne auch keinen Sinn dahinter, da eine Bankingapp keine Rootrechte erfragt.