Android malware vermomd als systeemupdate duikt op

Onderzoekers hebben nieuwe Android malware ontdekt, vermomd als een systeemupdate voor Android-smartphones. Eenmaal geïnstalleerd stuurt de malware data vanaf de smartphone door naar de aanvaller en kan de telefoon op afstand worden bediend.

Onderzoekers van het securitybedrijf Zimperium ontdekten de malware en publiceerden samen met TechCrunch de resultaten. De app moet buiten de Play Store om worden geinstalleerd, maar als dat lukt wordt er verbinding gemaakt met de server van de aanvaller en kan de smartphone op afstand worden bestuurd.

De malware kan allerlei data stelen van de telefoon van het slachtoffer, van berichten tot aan foto's. Ook is het mogelijk voor de aanvaller om geluid op te nemen via de microfoon en de camera te activeren. Daarnaast worden locatiegegevens doorgestuurd.

Volgens de onderzoekers gaat het waarschijnlijk om malware die is gemaakt voor gerichte aanvallen. Het gevaarlijke aan deze malware is dat de melding voor een systeemupdate moeilijk te onderscheiden is van een officiële update.

Volgens Zimperium CEO Shridhar Mittal is het een zeer geavanceerde app. Mittal zegt dat de malware niet in de Play Store is opgedoken. Een woordvoerder van Google wilde tegenover TechCrunch niet ingaan op hoe ze de malware heeft weten te weren tot nu toe.

Reacties (92)

[kodak]

Dus als ik het goed begrijp doen criminelen via een onbekende manier moeite om android gebruikers er in te laten trappen dat er een update is, die eigenlijk malware is. En als de gebruikers daar al in trappen, dan moeten ze vervolgens nog een app met malware installeren buiten de app store om.

Wat is er dan zo bijzonder aan? Want gebruikers voor de gek houden door te doen alsof malware een update is komt al vele jaren voor, op welk platform dan ook. En de malware zelf lijkt ook niet heel bijzonder, want het lijkt zich bijna net zo te gedragen als je van andere malware kan verwachten als die eenmaal geïnstalleerd is. Het probeert bij je gegevens te komen, je hardware te gebruiken en dat het van afstand bedient kan worden als een remote access tool (rat) is ook al jaren oud.

Het enige bijzondere aan dit nieuws lijkt te kunnen zijn wat Techcrunch en Zimperium nauwelijks op in gaan: hoe het de criminelen lukt om hun slachtoffers over te halen dat het om een betrouwbare update zou gaan. Want op de laatste versies van Android moet je namelijk heel wat moeite doen om malware te installeren die buiten de app store staat, of zo weinig om beveiliging geven dat je nog een android versie gebruikt die daar nauwelijks beveiliging tegen heeft of de normale app store niet meer kan gebruiken omdat het te oud is.

[Mopperman]

heb je de screenshots gezien op techcrunch?

Lijkt erop dat ze notificaties uit de browser weten te manipuleren zodat ze nagenoeg op een update lijken vanuit android. Zelfde icons e.d.

[MilanMeu]

Lijkt erop dat ze notificaties uit de browser weten te manipuleren zodat ze nagenoeg op een update lijken vanuit android. Zelfde icons e.d.

Bij de browser zal de naam van de browser ook in de melding staan, dit is bij TechCunch niet het geval.

Ik heb een demo opgezet voor een "System Update" browsermelding. Hiervoor heb je Android 8+ en Chrome (Dev) nodig. Accepteer de meldingen bij het openen van de pagina en volg de instructies.
De demo is beschikbaar op: https://android-system-update.glitch.me/
De source code is beschikbaar op: https://github.com/milanmeu/tweakers-demo-system-update/

Als je de demo niet kan of wil uitvoeren bekijk dan zeker de video.

De video wordt uitgevoerd in een Android Emulator, hierdoor is Google Play Protect niet actief. Op een fysiek apparaat zit er extra beveiliging:
- Android blokkeert standaard het installeren van apps buiten de Play Store om.
- Google Play Protect zoekt de app op en waarschuwt indien de app niet eerder is gescand.
- Pixel 3a wil de app niet installeren. Pixel 4 installeerde de app wel.

[Reactie gewijzigd door MilanMeu op 22 juli 2024 13:27]

[Despen]

Je moet dus allereerst de notificaties toestaan van die specifieke pagina in Chrome?

Dan zit ik veilig want die heb ik uitstaan.

Coole demo nonetheless.

[MilanMeu]

Je moet dus allereerst de notificaties toestaan van die specifieke pagina in Chrome?

Klopt, ik zie wel vaak bij familie dat ze meldingen toestaan van bijvoorbeeld nieuwssites zonder dat ze dit eigenlijk willen/beseffen. De popup komt bij het openen van de website net zoals een cookiemelding, we zijn het gewoon om altijd maar op "toestaan" te drukken.
Firefox blokkeerd deze popups als de pagina hier automatisch om vraagt. Chrome zou dit ook moeten doen maar doet dat niet?

Ik heb nu ook wat screenshots toegevoegd van andere besturingssystemen. Op Ubuntu Gnome na tonen ze allemaal Chrome en/of de website URL. https://github.com/milanm...e/tree/master/screenshots

[kodak]

Dat is raden, want er zijn meer manieren om zo iets te laten zien. Het kan net zo goed ook zijn dat er al andere malware op de android staat die deze meldingen geeft om te zorgen dat de gebruikers andere malware gaan installeren. Er zit waarschijnlijk niet maar een crimineel op de android als de gebruiker kennelijk al gebruik maakt van een verouderde android of onveilige apps. Ze zetten er niet zomaar bij dat dit waarschijnlijk het soort slachtoffers zijn.

[Reactie gewijzigd door kodak op 22 juli 2024 13:27]

[GekkePrutser]

Inderdaad. Dit is niet veel anders dan de popups met Windows XP border met "Uw systeem is geinfecteerd met een virus!! Klik snel hier om het op te lossen!" van 15 jaar geleden.

En inderdaad moet je behoorlijk moeite doen om het geinstalleerd te krijgen. Zoveel dat de mensen die hier in gaan trappen juist degenen zijn die het gewoon niet voor elkaar gaan krijgen

Die update notificatie ziet er inderdaad best echt uit, maar die krijg je pas als je de app toch al geinstalleerd hebt. Dan ben je allang te laat.

[pepijntb]

Eindelijk weer eens een goeie realistische reactie op zo'n drogartikel. Dit is gewoon een advertentie voor Zimperium.

[Kevin.]

Ben wel benieuwd hoe echt dit er uit ziet.

[Swindowmasher]

Vond op internet een foto van hoe het er uit ziet

https://techcrunch.com/wp...re-jpg.jpg?resize=768,678

Hier is ook een uitgebreid artikel over de werking van de app:

https://blog.zimperium.co...-posing-as-system-update/

[Reactie gewijzigd door Swindowmasher op 22 juli 2024 13:27]

[efari]

Is deze screenshot voor of nadat de app is geïnstalleerd? Ik denk nadat, hoe kunnnen ze anders zo’n notificatie tonen?
En eens de app al geïnstalleerd is (dus buitenom Play store) wat maakt het dan uit welke notificaties getoond worden? Het is toch al te laat

[Anoniem: 486671]

Als je de link volgt zie je halverwege het artikel een screenshot van de "systeemupdate" melding.
(https://techcrunch.com/20...Re-TKg3qT6fTlR1G6c-KPQ8l4)

En inderdaad bijna niet van een officiële systeem update melding te onderscheiden.

Ontzettend link dit soort zaken.

[rodie83]

Mwah.

De app moet buiten de Play Store om worden geinstalleerd,

Mensen die in dit soort rommel trappen zijn in het algemeen niet degenen die apps buiten de Play Store om installeren. Dus erg link vind ik sterk overdreven.

Ook onduidelijk in de hierboven genoemde artikelen is of de app permissies vraagt. In the end draait de app zoals ik het begrijp namelijk 'gewoon', en is er geen sprake van root toegang. Als er een manier is gevonden om permissies te omzeilen, ok, dan is dat gevaarlijk. Maar daar lijkt hier geen sprake van te zijn. Als je dan als gebruiker én een wazige app buiten de Play Store om installeert én je geeft die ook nog alle permissies, tsja.

[Reactie gewijzigd door rodie83 op 22 juli 2024 13:27]

[TheVivaldi]

"Mensen die in dit soort rommel trappen zijn in het algemeen niet degenen die apps buiten de Play Store om installeren."

Dat zou je op Windows ook denken, maar daar installeren een hoop mensen tóch genoeg zooi van buiten de Windows app store.

[kodak]

Alleen is windows nooit gemaakt om applicaties vooral of zelfs alleen vanuit een appstore te installeren. Je hebt bijna vrije keuze en als je al bezig bent hooguit de vraag of je het wel wil vertrouwen.
Bij android is het installeren buiten de vertrouwde store al jaren standaard en moet je er ook nog behoorlijke moeite voor doen nog voor je dat kan.

[TheVivaldi]

Behoorlijke moeite? Een schakelaartje omzetten nadat Android er zelf al om vraagt.

Maar het gaat mij er meer om dat er nu een app store is op Windows, dus dat je zou verwachten dat leken die gaan gebruiken, maar toch niet.

[Reactie gewijzigd door TheVivaldi op 22 juli 2024 13:27]

[kodak]

Android vraagt niet om een schakelaartje om te zetten. Een app komt namelijk niet zomaar in aanmerking om geïnstalleerd te worden. Je moet het downloaden, dat is een keuze gebeurt niet spontaan. Daarna kan je een app bestand nog niet zomaar installeren, je moet het bewust openen. Dat openen om te installeren kan niet vanuit iedere app, dus nog een belemmering. En zelfs als je wel de juiste app gebruikt krijg je nog een waarschuwing en moet je vervolgens een keuze maken die niet stamdaard is. Dat is wel even wat meer belemmering dan even een knopje omzetten.

[TheVivaldi]

Ik heb nog nooit meegemaakt dat er een app was die dat niet kon. Natuurlijk krijg je wel die waarschuwing, maar als je als leek die waarschuwing negeert, is het alleen nog maar een schakelaartje omzetten. Niet veel moeilijker dan op Windows, dus.

[rodie83]

Die vergelijking gaat nauwelijks op. Onder Windows is het doodnormaal om software te installeren buiten de store om. Dat er een hoop mensen zijn die niet snappen wat ze dan precies installeren, true. Maar als het echt rommel is dan slaat Windows Defender wel aan. Bovendien staat veel software helemaal niet in de store. Verhaal is niet anders bij MacOS en gedeeltelijk zelfs bij Linux.

[Bliksem B]

Heel simpel, in je advertentie een stappenplan aangeven hoe de update geïnstalleerd moet worden.
Op windows zie je dat vaak genoeg. En niet iedereen installeert het, maar toch voldoende.
Vroeger, toen ik net voor een jaar een pc had, trapte ik ook wel eens in.

[kodak]

Maar dan heb je dus vooral slachtoffers die al niet snappen wat ze doen, meer vertrouwen in een onbekende beschrijving dan alle waarschuwingen van android of bewust de beveiliging negeren. Het is niet alsof je een android krijgt en je dan bij normaal gebruik leert dat je apps buiten een store maar kunt vertrouwen.
Zoals het bedrijf zelf ook al stelt: dit lijkt te gaan om gebruikers die kiezen om te oude versies van android te gebruiken of weinig aandacht voor beveiliging hebben.

[Daoka]

Als een website een goede smoes gebruikt zoals "deze firmware firmware is bij de fabrikant gedownload" en "u kunt deze waarschuwing negeren aangezien de software van de fabrikant afkomt en dus veilig is, deze waarschuwing is alleen als u niet zeker weet waar de software vandaan komt" zullen mensen echt niet gauw denken dat er iets niet klopt. Uiteindelijk lijkt de website te helpen met wat ze willen en is er dus gewoon vertrouwen in wat er staat. Zelfs al zouden er absurde dingen instaan zouden genoeg mensen er in geloven. Ik verwacht dat ik wel mensen in mijn omgeving heb dat als die vragen hoe update ik een telefoon en ik zou zoiets zeggen als "om te beginnen doe je binnen 1 minuut 3x het scherm uit en aan en schut 5x met de telefoon. Dit is om de telefoon te laten weten dat je wilt gaan updaten en dus beveiligingen uit zet." dat bepaalde mensen dit echt doen. Zolang er maar een goede reden bij staat vertrouwen mensen het al snel. Zo heb ik bijvoorbeeld toen iemand vroeg hoe de tijd op de telefoon ingesteld kan worden voor de gein eerst de telefoon opnieuw laten opstarten om want "er zit een beveiliging op dat programma's niet zomaar de tijden kunnen veranderen, dat kan alleen de eerste 3 minuten na opstarten". En na het het instellen van de tijd. "O ja opnieuw opstarten was maar een geintje". Dit is gelukkig niet schadelijk maar het laat wel zien dat mensen simpel dingen geloven.

[The Zep Man]

Mensen die in dit soort rommel trappen zijn in het algemeen niet degenen die apps buiten de Play Store om installeren.

Fortnite...

[bussie66]

Vind dat linke wel meevallen.

Als je buiten de app store om dowload ...tja beetje dom op zijn minst.

[Anoniem: 486671]

Inderdaad, maar er zijn nog steeds veel (onwetende) mensen die op allerlei linkjes op websites klikken en daarmee van alles binnen halen. Het blijft een vaag verhaal hierboven, maar op zo'n manier kan een app als deze wel op je smartphone geïnstalleerd worden. Het vinkje geen apps van buiten de playstore installeren hoef maar 1x uitgezet te worden, dat moet dan uiteraard vooraf een x bewust gedaan zijn.

[computerjunky]

Nee dus. Je kan op linkjes klikken op je telefoon tot je een ons weegd maar voor sideloaden heb je usb debugging nodig en voor usb debugging heb je developer mode nodig en voor developer mode moet je een verborgen functie weten te vinden.

Zomaar even iets installeren zit er niet in voor het gros.

[Reactie gewijzigd door computerjunky op 22 juli 2024 13:27]

[kimborntobewild]

Een probleem is dat er mensen zijn die dat soort beveiliging uitschakelt om bijv. een systeem-wijde ad-blocker te kunnen installeren.
En de oorzaak daarvan is weer dat het bedrijven niks kan schelen als je dood wordt gepest met bewegende reclame. Statische reclame valt nog te verhapstukken (als het niet een groot deel van je scherm inneemt, tenminste); maar bewegende reclame is vreselijk. Op bijv. een Windows-PC kom je een heel eind met ad-blockers in je browser; maar op een Android-toestel heeft 99,9% van alle gratis apps ingebouwde reclame; vaak bewegend.
Bewegende reclame zou grondwettelijk verboden moeten worden. O.a. mensen met epilepsie (...% van de bevolking?) en A.S.S. (1% van de bevolking) hebben extreem veel last van bewegende reclame.

[YangWenli]

Een ad blocker houdt ook malware tegen. Advertenties blokkeren is één van de beste veiligheidsmaatregelen die je kan doen op een computer of smartphone.

[Soldaatje]

Dat klopt echt niet hoor, voor apps sideloaden heb je geen usb-debugging nodig.

[mjz2cool]

Er is 1 vinkje in de standaard instellingen te vinden, om apps van onbekende bronnen te installeren. Heeft niks met developer opties en usb debugging te maken.

[TheVivaldi]

Nee hoor, voor sideloaden hoef je alleen maar "Apps van deze bron installeren" aan te zetten in de rechteninstellingen van de desbetreffende app, in dit geval de browser. Zó simpel is het op Android.

[GekkePrutser]

Niet zozeer link. Die melding krijg je pas als je de malware zelf al geinstalleerd hebt buiten de app store om. Dan is het kwaad toch allang gedaan.

Het zou wel link zijn als ze zo'n prompt wisten te triggeren op het moment dat je de malware niet geinstalleerd had, en op die manier een installatie probeerden te forceren.

Maar zodra je zelf vage shit gaat installeren is het hek toch al van de dam.

Ik ben verder wel blij met dit nieuws, want we krijgen op het werk regelmatig geklaag van mensen die het niet accepteren dat we voor gebruik met werk (BYOD) sideloaden (en rooten) onmogelijk maken. Dit is weer een mooi voorbeeld om te geven van een reeel risico als we toch weer die klacht krijgen.

Vaak gaat het inderdaad om vaag spul trouwens. Apps voor illegale streaming bijvoorbeeld. Maar ook mensen die versies van Android Auto installeren omdat het in hun land niet officieel beschikbaar is. Maarja de goeden moeten onder de kwaden lijden helaas.

PS: We bieden zelfs een optie om wel te kunnen sideloaden in combinatie met werk apps, alleen dan kan je nog minder Geen WiFi, geen VPN, alleen Outlook email op je telefoon. Want we willen geen mogelijke malware op het netwerk. Vind dat we best netjes een keuze bieden hier. Ook verplichten we wel in alle gevallen Lookout als extra beveiliging.

[Reactie gewijzigd door GekkePrutser op 22 juli 2024 13:27]

[Alxndr]

Maar wat is het "bijna" gedeelte, ik zie zo niet het verschil met een legitieme systeem update?

En zoals @rodie83 zegt, buiten de App store om, hoe ziet dat er uit dan? Beetje een slecht artikel zonder deze extra noodzakelijke info niet?

[Raymond Deen]

Wat een gekke URL... Ik kom op één of andere advertising URL uit die wordt geblokkeerd bij mij.

[Rojod]

Nou, bijna niet van een officiële systeem update melding te onderscheiden?
Mogelijk dat het anders is bij de Pixel's, maar deze melding ziet er toch echt heel anders uit dan op mijn telefoon. Bij een systeemupdate staat geen G als icoon, maar een telefoon met een pijltje omlaag er in. Bovendien een hele andere tekst. Dit is dus eigenlijk een best wel neppe melding.

Nadeel is dat mensen op PC nog wel beetje uitkijken en niet overal intrappen, maar op mobiel zo maar alles aanklikken, want 'het is toch wel veilig, anders kreeg ik het niet'. Vooral ouderen lijken niet te snappen dat dingen die op PC gelden, ook gelden voor mobiel...

[opa uche]

Het enige gevaar wat ik proef is wanneer het vangnet van een PlayStore niet zou functioneren.
En dan nog... Die systeem updates komen vanuit een andere hoek dan de PlayStore toch? Ik heb nooit een app geïnstalleerd om het OS te updaten voor mijn Samsung, Nokia, Motorola Android omgeving.

Dus ik ben dan wel benieuwd HOE die app ongevraagd op mijn telefoon zou komen...

[Daoka]

Niet iedereen weet hoe je een telefoon update. Ja de meeste mensen wel. Maar er zijn mensen in me omgeving die mij vragen hoe het moet of me de telefoon in me handen drukken of ik het wil doen. Als een valse website boven aan de zoeklijst komt met uitleg van download hier de update, volg deze stappen en klaar dan zouden die mensen dat gewoon doen. Of mensen die een oude versie willen terug halen en dan de verkeerde sites vinden. Of mensen denken dat die update programma normaal is zoals dat je voor de Windows 10 een tooltje had voor de upgrade. Dat voor jou iets logisch is betekent niet dat het voor iedereen logisch is.

[Anoniem: 377399]

inderdaad. ik heb een neef, ik moet zijn pc helemaal malwarevrij maken, en binnen een paar dagen is zijn pc weer helemaal volgeladen met malware. hij ziet een bericht, "je pc is traag, download en installeer dit programma," en hij doet het... iedere keer.

[ByteArray]

Je zou hem kunnen voorstellen om hem alleen een normaal gebruikersaccount te geven, en beheertaken, zoals het installeren van een legitiem programma, aan jou over te laten - eventueel op afstand.

[[BoSS]]

Installeer Linux of Chrome OS en je bent er een tijdje vanaf ;-)

[chopper88]

Vergeet ook een fatsoenlijke ad blocker niet

[Soldaatje]

Of je hebt hem niet goed schoongemaakt.

[ATIradeon8500]

Dat kán zeker de oorzaak zijn ja.

[opa uche]

Daar heb je een goed punt.

[tilburgs82]

Zolang er mensen zijn die “me” gebruiken ipv mijn, zullen er ook mensen zijn die hier intrappen

[blorf]

Eigenlijk is een mod hiervan waar alle activiteiten van zijn uitgezet wel handig als soft-root programma.

[TheVivaldi]

"Ik heb nooit een app geïnstalleerd om het OS te updaten voor mijn Samsung, Nokia, Motorola Android omgeving."

Op toestellen van die fabrikanten niet, maar hoe update je zo snel mogelijk een OnePlus-telefoon? Met Oxygen Updater uit de Play Store. Dus ja, daar heb je wél een aparte app nodig.

Niet dat ik daarmee zeg dat het een groot probleem is, want zoals je zelf al aangeeft is dat niet bij alle fabrikanten zo, maar ik bedoel maar te zeggen dat het niet zo gek is.

[opa uche]

Nee dat is duidelijk. Zo'n wijze voor systeemupdate voor OnePlus wist ik niet. Dank voor het inzicht!

[-ION-]

Ik mis denk ik wat hier nu zo nieuwswaardig aan is. Een app die middels een apk buiten de Play Store om moet worden geïnstalleerd en dezelfde tekst en hetzelfde icoontje heeft als een systeemupdate. Lijkt me toch niet zo ingewikkeld om te maken?

[batjes]

Er zijn ook zat van die "spy" apps die je buiten de store om moet installeren en zich voordoen als onderdeel van het systeem. Dit zal toch niet de eerste app zijn die zich als malware gedraagt?

[computerjunky]

De app moet buiten de Play Store om worden geinstalleerd, maar als dat lukt wordt er verbinding gemaakt met de server van de aanvaller en kan de smartphone op afstand worden bestuurd.

Kortom voor 99,99% van de android gebruikers geen reden tot paniek.

[TheVivaldi]

Apps buiten de Play Store om installeren is een makkie, zelfs voor leken. Maar je hebt vast gelijk, want ik was even vergeten dat leken nooit Android gebruiken… oh wacht

[joszman_tweak]

Vergeet niet dat de meeste mensen gebruikers zijn en geen techneuten. Ze worden om de oren geslagen met het update mantra door iedereen die verstand heeft van...

Wat ik persoonlijk mis in het artikel is het proces dat in gang wordt gezet als je op de link zou klikken. Wat krijg je voorgeschoteld waardoor je ziet dat het meuk is en geen update van het os. Alleen een beetje de gangbare trend, be afraid..be very afraid Paar printscreens erbij met wat uitleg ofzo was mooi geweest.

[NoobishPro]

Hoe weet je nu dan of je deze malware hebt of niet? Toevallig recent 2 android updates achter elkaar gehad, dus maak me daar dan wel wat zorgen over natuurlijk...

Wel heb ik een samsung en zien mijn updates er totaal anders uit dan wat ik hier zie.
Ik lees van alles over een 'app', maar ik installeer geen apps buiten de play store om.

Wie installeert wel bewust een 'app' die zich voordoet als iets wat je telefoon sowieso al automatisch doet?
Ik neem aan dat dit niet iets is wat je eerst zelf moet downloaden voordat het werkt?

[Olympus user]

Er staat : De app moet buiten de Play Store om worden geinstalleerd.
Nu kun je zeker op 1 punt al uitsluiten of hem hebt.

[watercoolertje]

Je voldoet dus niet aan de voorwaarden om het te krijgen, waarom maak je je zorgen?

Dat is een beetje als vragen of je Corona hebt omdat je je teen gestoten hebt tegen een legoblokje. Nee daar krijg je dat niet van...

[Reactie gewijzigd door watercoolertje op 22 juli 2024 13:27]

[kurniawan77]

Er roept bij mij eerder een ander vraag op: hoe zijn zij aan deze malware gekomen?

[kodak]

Het nieuws komt van een beveiligingsbedrijf dat onderzoek doet naar onveilige situaties (bijvoorbeeld in een mobiel van een klant die een beveiligingsprobleem heeft) en waarschijnlijk ook zelf apps uit onofficiele app stores test hoe onbetrouwbaar die zijn.

[Anoniem: 454358]

Een apk van de geheime dienst? Lijkt mij de ideale app om op een telefoon van een crimineel te zetten als opsporingsdienst

[kimborntobewild]

Een woordvoerder van Google wilden tegenover TechCrunch niet ingaan op hoe ze de malware heeft weten te weren tot nu toe.

Wordt er bedoeld: weren uit de AppStore? Lijkt me nogal wiedes dat 'systeemupdates' worden geweerd van derden.
Wordt er bedoeld: het installeren van de malware blokkeren? Er valt toch niks (meer) te blokkeren als de gebruiker het zelf installeert buiten de AppStore om?
Wordt er bedoeld: de schadelijke eigenschappen van de malware blokkeren? Er valt toch niks (meer) te blokkeren als de gebruiker het zelf installeert buiten de AppStore om?