Android-malware kan toestellen rooten en code installeren

Trend Micro heeft een nieuw soort Android-malware ontdekt met de naam 'Godless'. Godless draagt bepaalde exploits bij zich waardoor het een apparaat kan rooten en spyware kan installeren. Een nieuwere variant zou ook Google Play-veiligheidschecks weten te omzeilen.

Volgens het beveiligingsbedrijf heeft de malware het voorzien op Android-versies 5.1 en ouder, wat betekent dat nog steeds zo'n 90 procent van de Android-apparaten kwetsbaar is voor Godless. Op het moment dat Trend Micro zijn blog publiceerde, zouden zo'n 850.000 apparaten wereldwijd geïnfecteerd zijn, waarvan het grootste deel in India, zo'n 46 procent, waarna op afstand Indonesië op een tweede plaats komt met ruim 10 procent aan infecties.

Godless, of eigenlijk androidos_godless.hrx zoals het beveiligingsbedrijf het detecteert, maakt gebruik van een framework om Android te rooten, android-rooting-tools. Die rootkit maakt gebruik van verschillende bekende exploits, zoals de PingPongRoot- en Towelroot-exploit, en komt ook voor in bepaalde, veilig uitziende apps in de Google Play Store, zoals zaklampapplicaties en wifi-apps. De criminelen misbruiken ook populaire games door kopieën met malware in de store te zetten.

Wat Trend Micro ook heeft kunnen constateren, is dat er normale, schone apps in de store staan waar ook kwaadaardige versies van zijn buiten de Play Store om met hetzelfde ontwikkelaarscertificaat. Zo kan het gebeuren dat een gebruiker een normale, veilige app opwaardeert naar een app met kwaadaardige code, mits de gebruiker een 'update' downloadt buiten de Play Store om. Het beveiligingsbedrijf merkt daar terecht bij op dat het niet verstandig is en om apps van buiten de Play Store om te installeren. Standaard staat die functie op Android-toestellen veelal uitgeschakeld.

Reacties (141)

Hoe kan het, dan Android zo ontiegelijk veel meer praktijkmalware heeft dan iOS en WP10? Hebben ze niets geleerd van Windows 9x?

Hier zijn een aantal redenen voor:

1. Op Android kun je Apps buiten de Play Store om installeren (moet zelfs, als Google er niet is).
2. De Play Store accepteert alle apps zonder ze grondig te checken (zoals Apple doet).
3. Android toestellen krijgen vaak één of geen updates. En dan ook nog maanden te laat. Hierdoor blijven gevonden exploits veel langer bestaan dan bijvoorbeeld op iOS.

Maar de belangrijkste:

4. De iPhone wint van elke andere telefoon. Maar Android (in totaal) wint met gemak van iOS. 85% van alle toestellen wereldwijd zijn Android. Android is 'het' OS voor iedereen. Net als Windows voor een PC. Apple is in de mobiele markt, net als de PC markt een relatief duur niche product. En net als iOS heeft macOS en relatief klein marktaandeel. Dus het is gewoon minder lucratief hier virussen voor te schrijven. Windows Phone heeft zo een klein aandeel dat er waarschijnlijk niemand de tijd in steekt.

Eigenlijk precies hetzelfde als de vraag: 'Waarom heeft Windows virussen en Mac niet (of nauwelijks)?'.

Gesloten vs. open systeem. Eén apparaat vs. honderden. Marktleider vs. nicheproduct.

EDIT: en ik vergeet nog de belangrijkste: op iOS kan een app enkel bij de bestanden van de app zelf. Een e-mail app kan niet vrijlijk neuzen in de foto app. Je moet vanuit de foto app de bestanden naar je e-mail app 'pushen' als het waren. Hierdoor kan een malafide app nergens bij.

EDIT2: Zoals comments hieronder aangeven zijn er 1 miljard actieve iOS apparaten. Zelf even nagezocht en dat klopt inderdaad!. Had er geen idee van dat het er zoveel waren. Niet echt meer een nicheproduct te noemen! My bad.

Maar blijft wel staan dat Android nou eenmaal groter is dan iOS. Maar de belangrijkste reden voor virussen is waarschijnlijk toch de openheid van Android tegenover het Apple-ecosysteem van Apple. Vooral de spoedige uitrol van updates zorgen en de gesloten app store zorgen bij Apple voor goede veiligheid. Waar je bij Android hier makkelijk om heen kan als gebruiker, en dus ook als virus.

[Reactie gewijzigd door ApexAlpha op 23 juni 2016 12:38]

Ik snap niet waarom mensen nog steeds met dit onzinnige argument aankomen:

Maar de belangrijkste:

4. De iPhone wint van elke andere telefoon. Maar Android (in totaal) wint met gemak van iOS. 85% van alle toestellen wereldwijd zijn Android. Android is 'het' OS voor iedereen. Net als Windows voor een PC. Apple is in de mobiele markt, net als de PC markt een relatief duur niche product. En net als iOS heeft macOS en relatief klein marktaandeel. Dus het is gewoon minder lucratief hier virussen voor te schrijven. Windows Phone heeft zo een klein aandeel dat er waarschijnlijk niemand de tijd in steekt.

Eigenlijk precies hetzelfde als de vraag: 'Waarom heeft Windows virussen en Mac niet (of nauwelijks)?'.

Gesloten vs. open systeem. Eén apparaat vs. honderden. Marktleider vs. nicheproduct.

Hou toch op. Er zijn ongeveer 1 MILJARD iOS apparaten in omloop. Dat is toch geen nicheproduct?? Voor dat nicheproduct zijn wel twee miljoen programma's te vinden in de Appstore, blijkbaar vinden de niet-virus/malwareschrijvers het wel een aardige markt..

Dat er geen virussen en weinig malware bestaat voor iOS en Mac heeft gewoon een economisch basis. Apple heeft een uitstekend werkend systeem om z'n software snel te updaten en omdat ieder virus of geslaagde stuk malware voor iOS of OSX wereldnieuws is in de techwereld kunnen de schrijvers er dan ook doorgaans maar heel kort van 'genieten' en wordt het lastig om er hun investering in tijd en geld weer uit te halen.

Dat maakt het verschil. Het kan best zijn dat het veiligheidsniveau van Apple, Android en Windows precies even hoog ligt, alleen weet je dat een virus of malware bij Android nog jaren effectief kan blijven omdat veel Android apparaten nooit geüpdatet worden en dat er bij Windows een behoorlijke kans is dat het ergens 'onder de radar' blijft hangen omdat er dagelijks nieuwe malware en virussen bij komen. Het grote publiek hoort er doorgaans weinig van. Bij Apple weet je vrij zeker dat je geslaagde virus of malware heel veel, ook publieke aandacht krijgt en een waarschijnlijk snelle veiligheidsupdate..

Virussen en malware worden niet geschreven voor de eer of de kick maar om er geld mee te verdienen. Die kans is bij Apple producten veel en veel kleiner dan bij Android of Windows, niet omdat de markt van Apple zoveel kleiner is maar omdat hun beveiliging beter werkt. (Voor de duidelijkheid niet beter IS maar beter WERKT)

Dus als virus- of malwareschrijver wist ik ook wel waar ik mijn tijd en geld aan zou besteden.

Hou toch op. Er zijn ongeveer 1 MILJARD iOS apparaten in omloop. Dat is toch geen nicheproduct?? Voor dat nicheproduct zijn wel twee miljoen programma's te vinden in de Appstore, blijkbaar vinden de niet-virus/malwareschrijvers het wel een aardige markt..

Ik neem aan dat je dat baseert op iets als dit? Dat zegt alleen dat er in het totale bestaan van iOS 1 miljard devices zijn gekocht. Hoeveel daarvan zullen ondertussen onbruikbaar zijn (te oude iOS versie/kapot)?

Android devices hebben simpelweg een veel groter marktaandeel. Als men wil is iOS ook wel stuk te krijgen. Android is een makkelijker en waardevoller target.

Daartegen kan je zeggen dat het aandeel webdata wat IOS genereert verhoudingsgewijs veel hoger is dan het hardware marktaandeel, ook wat betreft inkomsten voor derden laat een hele andere verhouding zien.
Dus ik zou niet weten waarom een device met het grootste marktaandeel wat betreft verkopen ten alle tijden aantrekkelijker is voor dit soort malware.
Het Android platform is niet per definitie waardevoller, een groot deel is onaantrekkelijk vanwege low budget toestellen welke waarschijnlijk niet intensief gebruikt worden.
Maar het argument marktaandeel wordt vaak gebruikt om zo het gebrek en security af te zwakken

De beveiliging en controle in IOS maken het platform minder aantrekkelijk ten op zichte van de moeite die je erin moet stoppen.

Pfff wat een belachelijk vooroordeel. Dus Android gebruikers zijn arm? iOS gebruikers hebben veelal hun telefoon op afbetaling en die hebben meer geld over voor apps uit de App store dat wil niet zeggen dat ze meer te besteden hebben. Ik zie kindjes van 12 rondlopen met een iPhone en ik heb Android dat wil echt niet zeggen dat die kindjes meer geld hebben dan ik!

En hoeveel geld valt er nou daadwerkelijk te halen voor een crimineel? Die pakken liever van 10.000 telefoons 5 euro dan een ton van slechts een paar toestellen, dat is heel het idee. Hoe meer toestellen ze dus kunnen infecteren hoe beter en dus is Android veel interessanter, zeker ook omdat het veel meer open is dan iOS.

Het zijn beide besturingssystemen die ooit de admin-privileges van de gebruiker hebben gekaapt. De consequenties daarvan zijn nu dagelijks aan de orde.
Mensen die jaren later nog steeds een van de twee gaan lopen verdedigen of verheerlijken snappen volgens mij helemaal niet waar ze het over hebben.

Hou toch op. Er zijn ongeveer 1 MILJARD iOS apparaten in omloop. Dat is toch geen nicheproduct?? Voor dat nicheproduct zijn wel twee miljoen programma's te vinden in de Appstore, blijkbaar vinden de niet-virus/malwareschrijvers het wel een aardige markt..

Apple announced a new company milestone today during its first-quarter earnings results: the total number of active Apple devices has surpassed 1 billion. Granted, Apple has shipped far more than a billion devices in the past; the company sold its billionth iOS device back in November 2014. But the active number suggests at least 1 billion devices — from the Apple Watch and Mac to the iPad and iPhone — are in regular use, communicating with the App Store and checking in with iCloud.

bron

Laten we het er op houden dat er heel veel iOS devices actief zijn, een nicheproduct is het zeker niet.

Waar is jou context? Kun je ook andere getallen van concurrentie tonen die tegenover iOS 1 miljard staan? Alles is relatief. Ook 1 Miljard.

"2. De Play Store accepteert alle apps zonder ze grondig te checken (zoals Apple doet)."

Ook Google doet grondige checks, maar dat neemt niet weg dat er altijd wat doorheen sijpelt (net als bij iOS overigens).
De algemene stelling dat iOS zoveel veiliger is, wordt steeds lastiger te verdedigen met het toemenen van de controle door Google en onafhankelijk onderzoek zoals dit, dat het tegendeel beweert en statistisch onderbouwt. En dat geldt in meerdere mate bij de grotere fabrikanten die ook een beter update beleid hanteren voor populaire telefoons die we hier kopen, dan zeg de fabrikant van de gemiddelde budget telefoon in India (zie het gros van de besmettingen genoemd in het originele artikel).

Kortom, één en ander lijkt op z'n minst flink genuanceerder te liggen dan jij het stelt.

[Reactie gewijzigd door Jortio op 23 juni 2016 22:42]

EDIT: en ik vergeet nog de belangrijkste: op iOS kan een app enkel bij de bestanden van de app zelf. Een e-mail app kan niet vrijlijk neuzen in de foto app. Je moet vanuit de foto app de bestanden naar je e-mail app 'pushen' als het waren. Hierdoor kan een malafide app nergens bij.

Dit klopt niet helemaal. Je kan in iOS apps toegang geven tot Mic/Foto's etc. Als je bvb. Facebook.app toegang geeft tot foto's geeft ie zelfs suggesties m.b.t. welke foto's je kunt uploaden en laat ie thumbnails zien van je meest recente pics. Zelfde telt voor vrijwel alle chat apps, vanuit die apps kun je gewoon bij je voorraad foto's als je dit toestaat. Het is enkel dat de Mail.app die ingebakken zit niet in de foto's neuzelt, maar technisch gezien zou dit wel kunnen.

[Reactie gewijzigd door ItsNotRudy op 23 juni 2016 12:28]

Maar hiervoor moet je dus wel toestemming geven. Op Android kan elke app dit gewoon zonder te vragen (vanaf 6.0 niet meer).

Enige verschil tussen 6.0 en < 6.0 is dat het nu tijdens het gebruik van de app wordt gevraagd. Je moet bij installatie altijd al toestemming geven, tijdens de ontwikkeling moet de ontwikkelaar permissies voor gebruik van zaken als camera hebben opgegeven. Een Android app draait net als iOS sandboxed, permissies bepalen de weg naar buiten. Enige probleem is dat niemand hiernaar keek bij installatie en lukraak akkoord gaf.

Met als detail dat je pre 6.0 alle permissies in één keer ter informatie voorgelegd krijgt en dan kunt beslissen of je wel of niet wil installeren. In 6.0 is dat inderdaad fijnmaziger geworden.

Nee hoor, al heel erg lang wordt voor installatie precies aangegeven waartoe de applicatie toegang wilt hebben. Als je dat niet wilt, kun je het installeren afbreken. Apps hebben geen toegang zonder het te vragen.

Ja maar tot op heden is het wel off alles of niets. Je kan niet een bepaald toegang ontzeggen. Dat een spelletje toegang wil tot je dialer is belachelijk, maar dit kan je alleen accepteren óf de hele app niet installeren.

edit: Typo

[Reactie gewijzigd door supersnathan94 op 24 juni 2016 08:36]

Als een app toegang wil tot je dialer is dit 9 vd 10 keer omdat ze iets willen pauzeren of bewaren op het moment dat jij gebeld wordt, in plaats van dat je gewoon alles kwijt bent, of dat je je telefoon niet hoort overgaan door de muziek die je aan hebt.

Komplete onzin natuurlijk. Dergelijke dingen hoort het OS af te handelen. Bij WP en iOS hoeft dat toch ook niet? Daarnaast is het raar dat een spel toegang krijgt tot de dialer en daarmee ook zelf kan bellen. Net las dat SMS-berichten verstuurd kunnen worden. Dat is vragen om problemen.

Om SMSberichten te versturen zal de app toch echt toegang moeten hebben tot de berichten app, welke je dan ook gebruikt. Net zo min als jij een SMS kan sturen uit je dialer, kan een andere app dat ook niet. En hoezo is dat onzin? Het is gewoon een andere manier van werken. En wat heb je nou liever, een app toegang geven tot je dialer app, of tot je OS? (Onzinnig argument, weet ik ook wel, maar ik heb ook nooit gezegd dat Android niet verbeterd kan worden, ik legde alleen maar uit waarom een app daar toegang voor vraagt).

En dat vragen er behoorlijk veel dus ook. Vanwege de share button namelijk. Maar die toestemming kan dus ook door malafide code misbruikt worden.

Hartstikke leuk, maar dat vragen ze dan toch echt pas als jij de share knop gebruikt, én dan voor SMS kiest. Dat is toch de hele bedoeling van t systeem?

Nee? Met android wordt er eenmalig een zwikkie permissies gevraagd en wat daar verder mee gebeurt weet niemand. Daar komt nu wel verandering in met android 6, maar als ik de adoptie ratio van voorgaande versies bekijk gaat het nog zeker een jaar duren voordat die mainstream is.

En 6.x heeft maar een marktaandeel van ca. 8%.

Het ging me meer om de statement van "op iOS kan een app enkel bij de bestanden van de app zelf." Wat dus niet waar is, of waar in ieder geval een * achter moet. Ook wordt er bij het updaten van zo'n app niet opnieuw om toestemming gevraagd, wat wel een beetje kwalijk is als de interactie met je bestanden verandert kan zijn.

[Reactie gewijzigd door ItsNotRudy op 23 juni 2016 13:29]

Maar je moet sowieso sideloaden toestaan om hier vatbaar voor te zijn, de meeste gebruikers doen dat niet alleen de tweakers/developers.

Hier in het westen misschien ... in het 'oosten', China India etc wordt de hele play Store nauwelijks gebruikt. Menig Android toestel komt er überhaupt niet met Google apps. Verklaard naar alle waarschijnlijkheid ook het veel hogere infectie ℅ daar.

De ingebakken mail app kan ook gewoon in je foto's. als je vanuit een nieuwe mail even het sherm ingedrukt houd krijg je het content menu (knippen kopieren plakken enzo). Druk je dan op het pijltje naar rechts dan kan je foto's en video's toevoegen aan een mail.

Ah, kijk aan. Wist ik niet eens. Zo vaak attach ik m'n foto's aan de mail

Tsja soms is het handig als het foto's zijn die echt in high res doorgestuurd moeten worden. De compressie van whatsapp is leuk voor mobile devices, maar op een gegeven moment gaat het te ver.

iOS heeft 1 miljard actieve gebruikers sinds begin 2016 en Google's Android had er eind vorig jaar 1,4 miljard. Dat 85% van alle op dat moment verkochte toestellen wereldwijd Android zijn, betekent niet dat het totaal ook 85% van het absolute aantal heeft. Buiten Google's Android is er natuurlijk nog Android zonder Google, maar qua actieve gebruikers zit het een stuk dichter bij elkaar.

Het heeft dan ook vrij weinig te maken met welk van de twee de grootste is, maar meer met het beveiligingsmodel. Bij Android krijgt de massa geen of nauwelijks updates. Dat zorgt ervoor dat de scope van een lek veel groter kan zijn en voor een langere periode. iOS is veel veiliger doordat updates (momenteel nog) op alle actieve apparaten werken.

Daarnaast zoals je zelf zegt kan je bij Android sideloaden. Een heel belangrijk gegeven om rotzooi op je apparaat te krijgen.

[Reactie gewijzigd door SidewalkSuper op 23 juni 2016 12:47]

Eigenlijk is 'sideloaden' (wat een vreemd, voor mijn gevoel out-of-context, woord voor apps installen die niet in de store staan) de enige manier om je Android toestel echt waterdicht te krijgen...
Door het XPosed framework op een rooted android te zetten en er dan XPrivacy op te installen kan je ook de native (linux) shell commands blocken.
Veel bugs in Android die misbruikt worden zijn gebaseerd op het escaleren van rechten vanuit de App VM environment naar het OS (linux) en die rechten kan je nu juist actief blokkeren (a-la firewall de ask-all optie) met XPrivacy

iOS één miljard? Dat is erg veel. Zeker aangezien iOS apparaten erg duur zijn, vooral voor mensen in minder rijke landen. Hoe kom je aan dat getal?

http://www.theverge.com/2...1-billion-iphone-ipad-ios

Je hebt natuurlijk de iPad, iPhone, Watch, TV, iPods... In ons huishouden (2 volwassenen) zitten we al op 5 (2x iPhone, 2x iPad, 1x iPod).
Onder iOS worden dan blijkbaar ook de watchOS, en tvOS verstaan.

But the active number suggests at least 1 billion devices — from the Apple Watch and Mac to the iPad and iPhone — are in regular use, communicating with the App Store and checking in with iCloud.

Ah, het zijn meer dan 1 milliard apparaten die 'regelmatig' met App Store en iCloud verbinding maken. In dat geval tellen de reguliere Macs ook mee natuurlijk, maar die vallen buiten iOS.

[Reactie gewijzigd door armageddon_2k1 op 23 juni 2016 12:46]

The 1 billionth ios device is al verkocht in 2014. Nou zijn er natuurlijk een hoop kapot gegaan, maar als ik de verkoopcijfers een beetje in de mix meeneem dan zal het mij niets verbazen als er een aanzienlijk deel van die 1 miljard actieve apparaten een iOS device is.

1. Op Android kun je Apps buiten de Play Store om installeren (moet zelfs, als Google er niet is).

Kan op Windows Phone/Mobile ook.


Probleem is voornamelijk dat Android niet gebouwd is met security in gedachten en dat probeert Google nu achteraf te fixen. Google heeft gewoon niet zitten opletten bij de geschiedenis lessen voor OS bouwers.

Dat Android een gatenkaas is heeft niet enkel te maken met open vs gesloten systeem, maar met de hele opbouw van het OS.

Zie Microsoft, die vecht nu nog dagelijks met de security-loze design keuzes uit de jaren 90 en begint hier eindelijk na 20+ jaar vanaf te stappen naar een ontwerp waar security first is, de universele apps.

Die 85% android, heb ik moeite mee. Bij mij op de werkvloer, circa 25 collega's, hebben er 17 een iPhone.

Kuch, Heb vaak genoeg gelezen dat Apple store apps had/heeft die totaal onveilig waren...

iOS mag dan 'maar' een marktaandeel hebben van 15%, dit gaat echter over miljoenen gebruikers...

het is gewoon een feit dat een Apple toestel updates krijgt en er dus veel minder toestellen in omloop zijn met oude bugs
daarnaast zijn er zeer veel goedkoper Android toestellen op de markt die al van bij de verkoop een verouderde versie van het OS hebben en die nooit een update krijgen
als ik een virus zou willen schrijven, weet ik wel wat ik zou kiezen
veel virussen/malware maken trouwens gebruik van gekende bugs die al lang gefixt zijn

Al gaat het in absolute getallen om een enorm aantal mensen, waarom zou je moeite doen voor die 15% (miljoenen), als je ook de 85% (veel meer miljoenen) kan pakken?

Dat is nogal een aanname die je daar maakt: "die 15% heeft wel geld"

iPhones zijn voor vele, vaak goedkoop volk, een statussymbool. Zitten ze thuis met een uitkering, maar €700 voor een iPhone (en ook voor de kleine natuurlijk) of een te duur abonnement met iPhone erbij kan er altijd vanaf. Ik kom het dagelijks tegen; hoe goedkoper de persoon, hoe duurder z'n phone.

Jouw aanname is nog veul groter hoor. Ik zie in het dagelijks leven 80% van de managers/hoger opgeleiden met een iPhone lopen, wil niet zeggen dat iPhones alleen door managers gebruikt worden.

Ik kom ook dagelijks "arme" mensen tegen met een 100 euro Android.
Daarbij:

http://www.ad.nl/digitaal...rs-zijn-slimmer~ac539099/ +
http://money.cnn.com/2015...obile/iphone-smart-study/

*en dat van een Android gebruiker *

[Reactie gewijzigd door Afvalzak op 23 juni 2016 13:35]

Welke telefoon je hebt heeft in de meeste gevallen echt helemaal niks te maken met hoeveel geld je hebt. Eerder met je opleidingsniveau en richting.

Mijn objectieve observaties:
- Meer vrouwen dan mannen hebben een iPhone
- Niet-technische mensen hebben veel vaker een iPhone dan een Android
- Lager opgeleiden hebben vaker een iPhone dan een Android.

Nu zeggen mijn observaties natuurlijk weinig tot niks, maar dit is wel wat mij al jaren opvalt. Van collega's die allemaal niets met de techniek hebben (100% iPhone), tot vrienden die allemaal in de techniek werken (90% Android), tot medestudenten HTS en TU (90% Android). Ik heb vanuit de HTS ook nog een tijdje rondgelopen in een ROC gebouw, en een paar gebouwen van de HTS waar niet-technische opleidingen gegeven worden, waar ik dezelfde dingen heb gezien. Maak ervan wat je wil, maar ik denk dat mijn redenatie dichter bij de werkelijkheid zit dan jouw "Android mensen zijn arm en iPhone mensen zijn rijk".

Als minutieuze bevestiging: mijn telefoon kostte €750. Los gekocht, in 1x betaald, zonder er voor gespaard te hebben, mis het geld absoluut niet. Android.

omdat je bij android kan sideloaden, en de source niet volledig doorgespit wordt voor dat een app in de store komt.
het is een afweging, en ondanks de malware zit ik toch liever met Android omdat app updates in minder dan 2 uur door de controle heen zijn en omdat ik ook apps kan installeren die tegen de plannen van de app-store beheerder gaan.

In Windows 10 (Mobile) is het ook simpel mogelijk om apps te sideloaden. Dit kan je simpel aanzetten in de "Update & Security" tab van de Settings app. Vanaf de anniversary update (gepland voor eind juli) krijgen apps (*.appx bestanden) zelfs een mooie install "wizard".

Edit: Dan wordt het voor ontwikkelaars ook mogelijk om *.appx bestanden aan te bieden via websites. Als deze dan store-signed zijn zal het update proces daarna via de store verlopen. Als ze niet store-signed zijn zullen gebruikers zelf nieuwe versies moeten ophalen of moet je een mechanisme in de app bouwen om dit af te handelen. Een app moet wel altijd signed zijn anders kan hij niet geïnstalleerd worden.

[Reactie gewijzigd door Triogap op 23 juni 2016 11:16]

In Windows 10 (Mobile) is het ook simpel mogelijk om apps te sideloaden

Sterker dat kan al in Windows Phone 8.1

Merk wel op dat de appx nog steeds inderdaad signed moet zijn, of je als eigenaar van de telefoon toestemming voor unsigned apps moet geven via de developer unlock methode.

Signed apps zjn dus nog altijd gecontroleerd door Microsoft of igv Enterprise apps jouw werkgever. Dus het gevaar is daarmee nog steeds afwezig dat men malafide code draait.

Grootste bescherming van Windows Phone/Mobile is echter dat apps in een sandbox draaien en dus beperkte rechten hebben. En anders dan bij Android zijn er geen methoden om uit de sandbox te breken voor de app zelf. Er zijn wel beperkte trucs om een app te hacken en dan via methoden als developer unlock te sideloaden. Maar dan ben je dus als telefoonbezitter expliciet moeite aan het doen.

Een signed app met een Microsoft certifciaat kan echter noot zaken doen zoals deze Android malware gewoonweg omdat het OS inherent apps niet vertrouwd en afschermt van de rest en van elkaar. Enkel via permissies kunnen bepaalde toegangen worden verleent.

iOS werkt ook ruwweg zo, al is het security model daar iets anders qua insteek (bescherming van Apple IP ipv bescherming van gebruiker stond oorspronkelijk centraal), en ben je ook daar veilig.

Of geen enkele hacker heeft nog echt lopen zoeken naar exploits in de Windows sandbox omgeving. Kan ook een reële optie zijn toch? Er valt namelijk niks te halen op dat platform.

Integendeel. Het is zelfs oderdeel van de Microsoft bug bounty.

Het is namelijk dezelfde sandbox als alle Windows Modern apps en nu Universal app hebben sinds Windows 8.0, Microsoft Internet Explorer in Enhanced Protection Mode gebruikt en Edge nu in Windows 10 standaard in draait. Zeker gezien die laaste twee dus zeer aantrekkelijke en zeer vaak beproefde doelen.

Maar merk op wat ik zei: "En anders dan bij Android zijn er geen methoden om uit de sandbox te breken voor de app zelf."

Ook in de PC wereld zijn de enige exploits van die sandbox tot nu toe exploits die of een lek in een externe driver gebruiken, of een plugin zoals Flash.

Zo moeilijk is het namelijk niet om een goede sandbox te maken. Chrome en iOS sandboxen zijn ook zo goed als waterdicht. Het wordt pas lastig als je met scripting languages en plugins moet werken. Maar daar is in app context geen sprake van.

Terug naar dit verhaal, Android sandboxing is in veel gevallen echter afwezig vanwege historische redenen. App developers én gebruikers verwachten dat apps vanalles kunnen. Een beetje hetzelfde verhaal als dat je op Window best in non-Administrator kunt draaien, maar geen hond die dat doet want dan werken allerlei slecht geschreven applicaties niet meer (al wordt dat steeds beter). En als Google het af en toe toch strenger maakt, heb je kans dat een OEM het terugdraait zoals Samsung doet met de SD kaart permissies om apps onderling af te schermen.

Dat een app signed is betekent zeer zeker niet dat hij door Microsoft is gecertificeerd. Tevens kan je in developer mode nog steeds alleen signed apps installeren.

Je hebt drie gradaties waar je uit mag kiezen; Windows Store apps, Sideload apps en Developer mode.

Bij Windows Store apps kan je alleen store signed apps installeren, dit zijn inderdaad apps die door Microsoft zijn gecontroleerd. Deze kunnen echter ook via andere platformen aangeboden worden.

Bij Sideload apps kan je apps installeren die gesigned zijn. Dit hoeft niet door Microsoft gebeurt te zijn. Maar de signature moet wel afkomstig zijn van een trusted certificaat op je PC.

Bij Developer mode kan je nog steeds alleen maar signed apps installeren. Echter hoeven deze niet aan een certificaat op je PC gekoppeld te zijn. Om lokaal te debuggen hoeft een PC niet eens in developer mode te staan. Om remote te debuggen wel.

Als ontwikkelaar kan je gewoon je eigen apps sign'en: https://msdn.microsoft.co...op/jj835835(v=vs.85).aspx

Dat een app signed is betekent zeer zeker niet dat hij door Microsoft is gecertificeerd

Klopt, ik was slordig, maar uit de context van mijn verhaal was denk ik wel duidelijk dat ik bedoelde Microsoft of Enterprise signed apps. Zo niet bij deze.

Tevens kan je in developer mode nog steeds alleen signed apps installeren

Klopt, het gebruikt dan een test-certifciaat. Maar iedereen kan met een test-certifciaat ondertekenen, dus effectief is dat in security context "unsigned". Maar technisch heb je gelijk en was ik wederom slordig.

Je hebt drie gradaties waar je uit mag kiezen; Windows Store apps, Sideload apps en Developer mode..

Het is nog wat flexibeler. Sideloaded apps zegt niets over het certificaat, enkel de methode van installatie. Je kunt zowel developer signed ("test signed"), Microsoft signed als Enterprise signed sideloaden.

Het zit zo:
- je hebt Microsoft signed. Elke telefoon zal deze apps accepteren. Zowel via sideload, Store installatie, MDM Enterprise push of OEM/MO preload. Microsoft heeft echter in de zomer van 2015 de optie om signed Appx/XAP van Microsoft te downloaded verwijdert, waardoor non-Store installatie lastiger geworden is. Maar het werkt nog steeds als je de signed appx/xap hebt.
- Enterprise signed. Elke telefoon met dat enterprise certificaat geinstalleerd zal die app accepteren via sideload of MDM Enterprise push. (In principe zou Store load ook geaccepteerd worden, enkel die optie bestaat evident niet bij Enterprise. Evenals OEM/MO preload.)
- Developer signed. Alleen telefoons die developer unlocked zijn accepteren deze apps. Sideload is de enige (ondersteunde) methode om deze te installeren.

omdat je bij android kan sideloaden, en de source niet volledig doorgespit wordt voor dat een app in de store komt.
het is een afweging, en ondanks de malware zit ik toch liever met Android omdat app updates in minder dan 2 uur door de controle heen zijn en omdat ik ook apps kan installeren die tegen de plannen van de app-store beheerder gaan.

Er staan verschillende fouten in je reactie

1. Op iOS kan je ook sideloaden
2. Her kan een dag of 2 duren voor je app overal beschikbaar is in de Play Store, Apple zit nu op een 3-4 dagen, waarna de app wel overal binnen het uur beschikbaar is.
3. Ook Google heeft een Play Store policy en weert apps uit hun Store die hier niet aan voldoen, ook al zijn deze regels minder streng dan die van Apple

Verder lijk je de positie van developer in te nemen, maar is je reactie wel erg gekleurd. Je vergeet een heel aantal minpunten van de Play Store voor developers.
Zoek maar eens op bekende apps en je ziet al direct een van onze grootste ergernissen (zoek naar eens op 2048 in Play Store en App Store en vergelijk)

Android's grote achilleshiel is de slappe update ethiek van de fabrikanten...
Ze poepen in een pleuristempo toestellen uit met een support van helemaal niets en that's it.
Als je dat combineert met hun dominate marktpostie is het een beetje een treurig verhaal aan het worden voor eindgebruikers met zo'n toestel die buiten support is gevallen.

Maar what's in it voor de device leveranciers? Apple wil dat mensen in hun eco-systeem blijven zitten (zodat je geld uitgeeft aan music, apps, books) en zorgen er daarom voor voor dat je lang met je devices kunt doen.

Android leveranciers willen alleen maar veel devices verkopen, de rest levert ze toch niets op (ze verdienen niets aan Google music/apps/books/etc).

Daarom moeten ze (Google) dat ook afdwingen. Security updates tot zeker 3 jaar nadat een toestel uit productie wordt gehaald.
Of gewoon een update mechanisme maken waar fabrikanten überhaupt geen zeg meer over hebben.
Ook moet m.i. de supportdatum die een klant mag verwachten van te voren vermeld worden bij een toestel.

Dan gaan ze ook eens wat meer nadenken over wat ze uberhaupt uitbrengen, er zijn m.i. namelijk ook gewoon te veel verschillende android telefoons.
Waar je bij Apple alleen maar kan kiezen tussen groot en klein en een kleurtje heb je bij Android tot achter de comma nuanceverschillen tussen verschillende toestellen.
Opzich is dat goed maar ik heb er liever maar 5 met een fatsoenlijk support dan 20 die na een jaar een security risico vormen die er niet meer uit gepolijst wordt.
Een wat beperkter toestelaanbod is ook beter voor de beschikbaar van meuk als hoesjes en screenprotectors. Momenteel kan je effectief alleen "zomaar" toebehoren kopen als je een iPhone of recent Galaxy toestel hebt.
Voor de rest moet je je effectief wenden tot internet.
Mediamarkt heeft bijvoorbeeld regelmatig zelfs geen toebehoren voor non iphone/galaxy toestellen die ze zelf verkopen... (wie daar inkoopt begrijpt zijn vak niet)

[Reactie gewijzigd door Anoniem: 80487 op 23 juni 2016 15:31]

Zit zeker wat in, aan de andere kant heeft Windows altijd ook voor 1000+ desktop-modellen OS updates uitgebracht zonder tussenkomst van de leverancier of data-providers.

Het update model van Android is helaas bar slecht en valt zelfs door het aantal te ondersteunen modellen niet recht te praten.

Exact daarom snap ik ook niet waarom die updates niet gewoon vanuit Google direct naar toestellen gestuurd worden.
Daar hebben ze standaarden voor uitgevonden en met Windows kan het ook.

[Reactie gewijzigd door Anoniem: 80487 op 23 juni 2016 15:33]

Helemaal mee eens. Ik heb zo'n toestel (Huawei P7, Hollands Nieuwe) die nog nooit een update heeft gezien in de twee jaar dat ik 'm heb. Het is aan mezelf te danken dat er geen malware op zit (recentelijk gescand), omdat ik zelden apps op mijn telefoon installeer. En ik bezoek er geen vage websites mee.

Binnenkort switch ik naar Ubuntu Phone. Ik ben ook wel klaar met Android, de provider (HN dus) die totaal geen aandacht besteed aan het up-to-date houden van je toestel, maar ook met Google én apps die - volgens de voorwaarden die ze stellen aan het gebruik van zo'n app - de meest idiote toestemmingen opeisen bij elke update van de desbetreffende app.

Omdat het marktaandeel van android het grootste is. De kans om iemand te infecteren dus ook en daardoor is het aantrekkelijker om malware voor android te maken. Er is namenlijk een grotere "afzetmarkt"

Mede ook omdat iedereen uit elke bron kan istalleren, dit maakt het ontwikkelen van mallware ook vele male makkelijker. Voor Windows zie je ook dat ze meer richting een store gaan, veel programma's kun je nu ook via de store vinden.

Door een 'closed' afzetmarkt te maken houd je veel kwaadwillende buiten, dit is ook een grote reden waarom Android zo hard gepakt wordt terwijl WP en IOS grotendeels buiten schot blijven.

Maar een ketting is ook zo sterk als de zwakste schakel.

Google laat toe dat een simpele scheet-app je locatie kan achterhalen. En hoe idioot het ook klinkt, het is geen moeite om een app te maken die de hele dag aanstaat, constant je locatie doorstuurt, verpakt in een scheet-app.

Een app die je misschien een paar keer gebruikt en vervolgens laat slingeren.

Google zelf kan met enige regelmaat hij eigen play-store opschonen want een ander zal dat niet doen. Maar het idee om de grootste te zijn is belangrijker.

Maar een ketting is ook zo sterk als de zwakste schakel.

Google laat toe dat een simpele scheet-app je locatie kan achterhalen. En hoe idioot het ook klinkt, het is geen moeite om een app te maken die de hele dag aanstaat, constant je locatie doorstuurt, verpakt in een scheet-app.

Euhm, nee, de gebruiker laat dat toe. Die snapt blijkbaar niet dat het niet helemaal logisch is dat een scheet-app je locatie nodig heeft.

Hangt er maar helemaal vanaf wat de app doet.... Je kunt een intelligente scheetapp maken die het alleen maar doet op locaties waar het kan (bijvoorbeeld wel thuis maar niet op kantoor).

Dat is toch een non argument.

Ten tijde dat iOS groter was dan Android was er ook niet meer malware voor iOS dan voor Android, hoe verklaar je dat dan?

Je bedoelt in de periode Q3 2009 tot Q2 2010? In de introductiefase van een product zullen er ook maar weinig mensen zijn die hier malware/spyware voor schrijven.

Android is gewoon een veel opener systeem dan IOS, iedereen kan het zo installeren en er mee rommelen.
IOS en Wphone ook wel veel meer een gesloten systeem.

Heel simpel, hetzelfde probleem als Windows kent;
Android is 'markt leider' (net zoals Windows dat is kwa desktop besturings systemen) en daarom word malware etc vooral voor Android gemaakt.

Stel jij gaat een virus/worm/stukje malware schrijven, dan is een van je doelen om zoveel mogelijk mensen te 'hacken', zou je dat dan voor WP10 maken, dan bereik je maar 2.57% van alle mensen met een smartphone, doe je het voor iOS dan bereik je 23.1% van de mensen met een smartphone. Doe je dit echter voor Android dan bereik je meteen een 70.85% van de mensen met een smartphone!

Dit is dus waarom Android (en in het geval van desktop spul Windows) zoveel virussen/wormen/malware voor z'n kiezen krijgt, het is met kop en schouders het grootste platform, daar valt dus 'het meeste valt te halen' voor de criminelen, wil je de grootste kans om succesvol (bijv) bank gegevens te stelen met je virus/worm/spul? je zou gek zijn als je je dan op een ander platform dan het grootste zou richten.

(cijfers van mei 2016 van netmarketshare.com)

Met dezelfde logica hadden iOS en Windows Phone ook geen apps in de store staan. Als alle malware voor Windows is geschreven en jij schrijft de enige malware die bestaat voor MacOS, waar kan je dan meer geld mee verdienen? Sowieso doen sommigen het alleen al puur omdat het kan. 23.1% van de mensen met een smartphone, dat zijn honderden miljoenen mensen.

[Reactie gewijzigd door Wolfos op 23 juni 2016 14:53]

iOS word ook wel op gericht af en toe (was tijdje geleden een piek, toen iOS ook het grootste mobiele OS was in Amerika, toen was dat hele xcode drama aan de hand) maar ja, keuze tussen honderden miljoenen mensen (Apple tegenwoordig) of miljarden mensen (Android tegenwoordig) gaat de keus toch vooral richting miljarden mensen.

En apps is natuurlijk een heel ander verhaal, als ik een app maak (roep eens wat, een NS trein app voor w(p)10) dan doe ik dat omdat ik gebruikers van platform X feature Y wil bieden (al dan niet omdat dat via mijn product/service loopt) en niet omdat ik denk dat ik daar het meeste gebruikers ga halen. (hoewel dat natuurlijk in de praktijk iets anders ligt, en bijv een Android of iOS versie van een app veel meer prio zal krijgen dan een w(p)10 versie van diezelfde app)

Vergis je ook niet in mijn vorige bericht trouwens, daar ging ik vooral in op 'waarom zoveel malware op Android', veel malware (vooral uit de betaalde exploit pakketten die hier wel eens genoemd worden) is ook cross platform, dus beschikbaar voor Android, en iOS, en eventueel nog anderen.

Vergeet ook niet dat Android open-source is. Jan en alleman kunnen dus naar de code kijken, iets wat bij IOS en Windows Phone niet kan

Er is anders genoeg iOS code opensource beschikbaar hoor. Google maar eens

Zal vast wel code opensource zijn ja, maar wellicht heb je het andere nieuws nog niet gelezen ->

nieuws: Apple zegt met opzet kernelcache in iOS 10 niet te hebben versleuteld

Kortom, de code die wat meer doet dan een 'popup' tonen was altijd closed bij Apple.. Weet niet hoe jij systemen hackt, maar daar komt toch echt veel meer de kernel code van te pas dan een 1 of andere vage API

Bij iOS was het het app model vanaf het begin, als er iets van een app in een andere app terecht komt, dan is dat een bug die Apple op gaat lossen. Bij Android is dat allemaal veel rommeliger en is er dus ook meer 'oppervlak' dat aangevallen kan worden. Je gegevens op plaatsen opslaan waar iedereen bij kan. Andere apps kunnen zich onderdelen van jouw app hergebruiken, er overheen tekenen, etc. Er is een veelvoud aan drivers voor kleine oplage telefoons, en er is geen drijfveer om de nieuwste (veiligste) kernel of zelfs nieuwste Android patches te gebruiken.

Ook was Android ooit eigenlijk ontwikkelt voor camera's, waar beveiliging toch minder een rol speelt. Je wilt immers alles wat je fotografeert kunnen bekijken, en alle toepassingen op de camera moeten ook bij alle gegevens kunnen komen. Denk zelfs dat een internet verbinding er niet vanaf het begin bij gedacht was.

[Reactie gewijzigd door Henk Poley op 23 juni 2016 13:12]

Er zijn altijd kwetsbaarheden te vinden in ieder besturingssysteem die zeker de moeite waard zijn om uit te buiten daar veel mensen internetbankieren op hun Android smartphone.

Dat beeld blijft hardnekkig bestaan, maar klopt niet. Lees bijvoorbeeld eens de whitepaper die je hier kunt downloaden. Pagina 13 is interessant in dit kader:

It is a common myth that the iOS development platform is more secure than the Android equivalent for several legitimate reasons:
a> iOS has more restrictive controls over what developers can do and tight application sandboxing. b> iOS Applications are fully vetted before being released to customers - preventing malware from entering the Apple App Store.
Yet, in the eld of pure application security where vulnerabilities are built in the code or into the application logic the story is quite di erent.
Our statistics show that the distribution of vulnerability exposed by severity is almost identical between iOS and Android Applications with a slightly higher percentage of critical vulnerabilities in iOS applications.

In de pie charts die volgen maken ze onderscheid in de ernst van de kwetsbaarheden in achtereenvolgens iOS en Android. Even proberen te vertalen naar een tabelletje:

Ernst - iOS % - Android%
Kritiek: 15% - 11%
Hoog: 25% - 25%
Gemiddeld: 28% - 25%
Laag: 32% - 39%

Oftwel: de gevonden kwetsbaarheden zijn door de bank genomen ernstiger bij iOS dan bij Android.

Natuurlijk kun je wel weer gaan zeuren over statistieken enzo, maar ik wil anno 2016 echt niet meer stellen dat iOS zoveel veiliger is dan Android.

En wat betreft "praktijkmalware" zoals je dat noemt: ik heb maar weinig malware in de praktijk gebruikt zien worden. Hoe lang is Stagefright bijvoorbeeld al niet bekend? En hoe vaak is die al daadwerkelijk misbruikt?

Scary dit. Maar wat ik wel knap vind dat ze kunnen rooten, ik moet toch altijd uitzoeken bij een bepaald merk en type toestel hoe ik moet rooten. Als dit een tool is die elk merk en type toestel kan rooten... toch ook wel handig, alleen jammer dat hij er daarna misbruik van maakt

Die tools bestaan, in ieder geval in de Android wereld is er ondertussen een soort standaardisering in bootladers ontstaan.

Deze pagina heeft een overzicht van wat algemene tools (die meerdere devices/merken ondersteunen) en daaronder vind je een leuke lijst van recente devices:
http://www.xda-developers.com/root/

Zoek je wat verder op hun site (klik op het 'forums' linksboven en dan 'all forums' rechtsboven) dan kun je voor eigenlijk ieder apparaat waar het mogelijk mee is wel tutorials vinden hoe te rooten.

[Reactie gewijzigd door 434365 op 23 juni 2016 15:47]

Ah ja, bedankt voor de link. XDA is welbekend, maar die link kende ik nog niet

Precies dat! Root voor mijn Asus tablet zou mij goed uitkomen...

Inderdaad er zijn zat tablets waar nog geen root voor is, zo ook bepaalde telefoons (weinig mensen hebben ze dus kans dat er een root voor komt is klein) Zo ook de intel based tablets etc, voor een flink aantal van deze is een specifieke root manier nodig die je alleen via een computer kan doen.

Dus ik ben erg benieuwd hoeveel apparaten er nou werkelijk kwetsbaar zijn? Lijkt een beetje bangmakerij imo.

Gewoon even die malware downloaden dan

Dat was mijn idee nou ook, en de telefoons die moeilijk/niet te rooten zijn... Zijn die veilig of zijn die nu eigenlijk ook te rooten.

Makkelijke manier die ik zo kan bedenken om dit virus te herkennen (mocht je er bang voor zijn). Als je telefoon niet geroot is door jezelf, doe een rootcheck. Is die dan wel geroot, pak de software van de fabrikant en herstel alles in je telefoon, firmware en installatie.

Iets handigs wat je bij Cyanogenmod kan doen is instellen dat applicaties bij installatie geen rechten hebben om wat dan ook te doen. Hierdoor lijkt mij dat een app met infectie ook niets kan/gaat doen. (speculatief)

Zelf ben ik net afgestapt van Google play services en haal dus al mijn apps van andere bronnen (=grotere infectiekans). Gelukkig een 6.x rom.

Het is gewoon wachten op de eerste Cryptolockers voor Android. Grote aantallen die kwetsbaar zijn, snelle hardware voor de encryptie (tegenwoordig) en met kleine microtransacties een lage drempel om toch maar te betalen om je niet elders opgeslagen duizenden foto's terug te krijgen.

Die bestaan al. Mijn pa heeft er een gehad. Hij was op een site waar op stond dat hij Silverlight moest downloaden om de inhoud te kunnen zien. Mijn pa kent Silverlight van de pc wel, en dacht dat dit dus ook wel kon op Android. Verder heeft hij dus niet bij de fabrikant van Silverlight (Microsoft) gekeken maar gewoon een apk binnen geharkt. En toen was het te laat.

Achteraf wist hij wel dat dat dus foute boel was, maar op dat moment wou hij gewoon snel datgene zien wat hij opgezocht had, niet denkende aan de gevaren die er zijn.

Tsja, kan ik het hem kwalijk nemen?

Ben wel benieuwd of de Nexus-lijn met de maandelijkse beveiligingsupdates dit bespaard blijft.

Voorlopig alleen versie 5.1 en ouder.

De onderliggende tip is duidelijk, installeer geen software buiten de app-store om.

Maar ook apps in de app-store kunnen deze malware bevatten:

komt ook voor in bepaalde, veilig uitziende apps in de Google Play Store

Maar ook apps in de app-store kunnen deze malware bevatten:

Precies, en daarmee komt een andere zwakheid van Android naar voren. Android staat toe dat apps code van remote servers downloaden. En dat is hoe men het daar doet. Google zelf zou de malware dedecteren en verwijderen, dus download men het na installatie. Nu zal Google die downloader kunnen blokkeren, maar hoe detecteer je een kwaadaardige vs goede downloader.

Bij Windows Phone is dat bijvoorbeeld daarom expliciet geheel niet toegestaan, en zijn er bovendien veiligheidschecks. Zo kunnen app DLL's enkel vanuit de install folder gedraaid worden, en heeft de app daar zelf geen schrijfrechten.

Overigens anders dan Tweakers stelt zijn er nog geen apps in de Play Store gevonden met deze malware. TrendLabs stelt zelf in relatie met deze downloader:

"We believe that this routine is done so that the malware can bypass security checks done by app stores, such as Google Play."

Heb erover heen gelezen. (maar blijkbaar worden ze ook gewoon in de Google appstore gedownload.)

Dus alleen de mensen die op 6.0 zitten zijn ''veilig''. Wordt toch ook hoog tijd dat fabrikanten niet alleen hardware verkopen maar ook de service om de software te blijven updaten.

[Reactie gewijzigd door Purehz op 23 juni 2016 10:33]

Dat is niet wat ik eruit lees

Wat Trend Micro ook heeft kunnen constateren, is dat er normale, schone apps in de store staan waar ook kwaadaardige versies van zijn buiten de Play Store om met hetzelfde ontwikkelaarscertificaat. Zo kan het gebeuren dat een gebruiker een normale, veilige app opwaardeert naar een app met kwaadaardige code, mits de gebruiker een 'update' downloadt buiten de Play Store om

Voor zover ik kan lezen ben je relatief safe als je binnen de playstore blijft zitten, zowel als het om installatie als wanneer het om updaten gaat.

Je hebt gelijk, zo lees ik het nu ook. Zolang je alleen binnen de Play Store download en update is er dus niks aan de hand.

Er zullen dus wel mensen zijn die een ''update'' denken uit te voeren van een veilige app en daardoor dus wel geïnfecteerd worden. Standaard staat deze optie uitgeschakeld om app te installeren dus het zal vooral aan de gebruiker zelf liggen als hij hiervoor kiest.

Aangezien Google apps in de store niet controleerd heeft ook dat geen zin. Ja, ze draaien wat automatische tests maar daar is omheen te werken en je kan achteraf klagen en dan trekken ze de app weer uit de store, maar dan is het al te laat.

Zou deze methode gebruikt kunnen worden om toestellen die geen updates meer krijgen toch actief updates te geven?

Het probleem is niet de update op het toestel krijgen, het probleem is dat iemand die update moet maken voor dat toestel.

Ok, begrijp ik goed dat je een update van deze aard op een toestel dat niet geroot is gewoon kan installeren?

Om een ander OS te flashen op een toestel hoef je alleen de bootloader te unlocken. Niet elk toestel staat dit echter toe.

Dit is ook één van de redenen waarom banken geen App's moeten leveren voor betalingen m.b.v. mobile devices, inhakende op dit artikel nieuws: Politie waarschuwt voor fraude met Rabobank-app

Beveiliging op android is ver beneden de maat en daarnaast installeert men nauwelijks antivirus/malware scanners (geen idee of er al effectieve software bestaat voor mobile devices die ook root meepakt) op mobiele telefoons. Ook installeert men klakkeloos alles op een telefoon 'wat wel leuk lijkt', inclusief dochter/zoon van onder de 10.

Dit virus/malware gebeuren gaat nog groot worden met het lakse update beleid

[Reactie gewijzigd door AOC op 23 juni 2016 11:39]

Beetje suggestief linkje als iemand niet doorklikt. Die app is helemaal niets mee mis qua security (voor zover uit dat bericht blijkt).

Autoverkopers gaven oplichters een auto mee als die lieten zien dat ze een overboeking hadden verstuurd via de app. Dat ze geen geld op hun rekening hadden en dat de overboeking daarom niet door gaat is de fraude. Dat maakt die app niet onveilig, dat maakt de verkopers te goed van vertrouwen (auto meegeven voor het geld op hun rekening staat).

Klopt, naast menselijke fouten heb je nog de laagdrempeligheid van mobiele telefonie, de tekortkomingen in beveiligingssoftware voor Android en dat in combinatie met een slecht updatebeleid maakt dat gevoelige zaken (zoals transacties e.d.) in gevaar komen. Daarom refereer ik naar het artikel over Rabobank. Ik ben ook van mening dat belangrijke zaken niet via een mobile device gedaan moeten worden en al helemaal niet met Android. Ik snap dan ook echt niet dat de bankenwereld apps hebben gemaakt voor een platform dat zo lek is als een mandje en waarbij de beveiliging (noem eens een app/software op die malware kan verwijderen van je telefoon?) niet optimaal is.

In het geval van het artikel waarnaar ik verwijs is het een menselijk fout, deels door grove onduidelijkheidheden in een app. De rabo app kan net zo goed gedownload worden vanaf een 'verkeerde locatie', of beinvloed worden door malware etc. Op Android is in principe veel mogelijk qua fraude zonder dat je jezelf er (softwarematig) tegen kan beschermen

[Reactie gewijzigd door AOC op 23 juni 2016 12:55]

Ik heb onder meer vanwege het update beleid van Apple al jaren iphones en even gauw geld overmaken via de rabo-app is best fijn.

De banken zullen ook wel nagedacht hebben over beveiliging van hun apps, maar ik zou inderdaad zelf op een android toestel dat niet netjes updates ontvangt ook liever niet bankieren (net zo goed als ik dat op mijn oude iPhone 3G niet meer zou willen doen).

Ik ben het met je eens dat security op android niet optimaal geregeld is, zeker niet op wat oudere toestellen die geen updates krijgen, maar ik wil wel even opmerken dat de rabo-app voor zover bekend niet onveilig is.

Ook al heb jij mijn mobiel fysiek in handen. En weet jij mijn code. Kun je enkel geld overmaken naar reeds bekende accounts. Dus als jij geld wilt overmaken naar bekende vrienden of familie van mij. Prima. Je krijgt mijn geld nooit in handen met de ABN Amro bank. Succes !! Ook al zou iemand een rootkit of iets dergelijks installeren.

Laatst ook gehad bij de buurvrouw. Haar telefoon zat vol met malware en het was er niet af te krijgen. Onbekende apps stond uitgeschakeld. Ongeveer elke seconde opende een pop-up met reclame, en na enkele minuten liep de telefoon vast.
Fabrieksinstellingen had ook geen zin (ook niet via PWR+HOME+VOL). Toestel opgestuurd, moest inderdaad geflasht worden. Ik "schrok" er van, heb nog niet eerder troep gezien die zich zo diep vastzet in je telefoon.

[Reactie gewijzigd door andydewit op 23 juni 2016 10:30]

Fabrieksinstellingen wist ook alleen de /data partitie, deze rootkit zit waarschijnlijk op /system (ivm root en het 'onverwijderbaar' maken van apps) en moet je met behulp van adb zelf flashen (mits de images beschikbaar zijn, bijvoorbeeld op Nexus) om deze partitie weer schoon te krijgen

[Reactie gewijzigd door maarud op 23 juni 2016 11:15]

Klopt, maar dat betekent dus dat de kwaadaardige apps op de telefoon van mijn buurvrouw root-toegang hebben gekregen. Heb haar het toestel op laten sturen, anders was de garantie verlopen.

heel vervelend, maar om alles in perspectief te zien er zijn wereldwijd 3.3 miljard telefoons aangesloten. volgens mij is 80 procent daarvan een android en 90 procent daarvan kwetsbaar. dat zijn 2,3 miljard telefoons daarvan zijn nu dus nog geen miljoen besmet minder dan 0,03 procent van het totaal. waarvan het merendeel in azie, waar veel buiten de play store om apps worden geïnstalleerd. blijkbaar loopt het dus niet zo`n vaart.

Dus met 6.0 ben je veilig blijkbaar?

Pff, wordt steeds enger met de huidige Android malware, nu kunnen ze je telefoon al rooten dus wat is het volgende?

Schrikbarend als je eraan denkt.

Ik maak me hier grote zorgen over, want ik heb wel eens een virus gehad die volgens mij in een flashflight applicatie zat. Ik heb hem toen er af gegooid en mijn toestel herstart en toen was het weg.

Maar als ze root access hebben kan het virus zich zo installeren dat je het nooit en te nimmer meer weg krijgt. Dan kan je alleen maar een harde wipe doen volgens mij.

Ik begin steeds meer te balen van het Android ecosysteem, vooral wat updates betreft.

[Reactie gewijzigd door ArtGod op 23 juni 2016 11:55]