Zimperium: meer dan 10 miljoen Android-apparaten bevatten apps met trojan

Meer dan 10 miljoen Android-apparaten zijn volgens securitybedrijf Zimperium besmet geraakt met apps die een trojan bevatten en gebruikers geld afhandig proberen te maken. Er werden meer dan 200 apps ontdekt met de trojan en die zouden miljoenen euro’s hebben buitgemaakt.

Als een geïnfecteerde app werd geïnstalleerd, kregen de gebruikers tientallen meldingen over een zogezegd gewonnen prijs te zien. Volgens de onderzoekers doemde de pop-ups tot wel vijf keer per uur op totdat er op werd geklikt. Vervolgens werd de gebruiker naar een landingspagina omgeleid waarin men vroeg om het telefoonnummer in te dienen. Als ze dat deden, schreven ze zichzelf in op een betaalde sms-dienst die soms 36 euro per maand aanrekende. Deze landingspagina was aangepast aan de lokale taal, die werd bepaald aan de hand van het IP-adres.

De trojan kreeg de naam GriftHorse mee en werd gesignaleerd in meer dan 70 landen. De bende achter de campagne ging volgens de onderzoekers van Zimperium sinds november vorig jaar van start en hadden ingenieuze manieren bedacht om ongedetecteerd te blijven.

De bende bracht de geïnfecteerde apps uit in de Google Play-store en alternatieve appwinkels voor Android en dat in heel wat categorieën. Zo werd onder andere een vertaalapp, een racegame en hartslagmeter-app gevonden. Meer dan twintig apps uit de lijst werden meer dan 100.000 keer gedownload. De populairste geïnfecteerde app was volgens de onderzoekers Handy Translator Pro. Google werd op de hoogte gebracht en alle geïnfecteerde apps zijn inmiddels van de Google Play-store verwijderd.

Screenshot op geïnfecteerde smartphone

Reacties (67)

[rik]

Afgaande op de screenshot gaat het niet zozeer om in-app ads, maar om pushberichten vanuit de betreffende apps die vervolgens leiden naar een website. Ik kan me voorstellen dat die pushberichten een hogere click-rate hebben dan advertenties.

[FreshMaker]

Sommigen zijn zo perfect getimed, dat jij denkt op 'vezend' te klikken in een chat-app, maar nanoseconden ervoor komt dat popup scherm omhoog, en klik je dus op dát linkje, exact geplaatst.

Tot recent regelmatig toestellen van anderen voorzien van nieuwe software en updates, omdat dit al jaren aan de gang is.
Sommige mensen nemen het gewoon voor lief 'want is was altijd al zo'

[CyberMania]

Vandaar dat ik voor een strenge AppStore ben bij Apple. Bij een open store krijg je veel sneller troep en rommel.

[Steyn_E]

Laat het nou geen enkel probleem zijn om alternatieve stores mogelijk te maken zonder de eigen storete moeten sluiten. Wat een non-issue, en bovendien was er laatst volgens mij een vrij ernstige exploit voor iOS boven water gekomen. Ik ben zelf trouwens iPhone gebeuiker maar zie liever gisteren dan vandaag de mogelijkheid om alternatieve stores te installeren. Dat waarborgt dat ik niet alleen kan installeren wat Apple voor mijn zielige oogjes geschikt vindt.

En de reden dat Apple dat veiligheids-imago heeft is niet vanwege de onfeilbare of überhaupt betere code dan de concurrentie maar vanwege het feit dat het marktaandeel op de desktopmarkt zo klein is dat een exploit voor Windows zoeken interessanter is. Dat ligt met iOS net even anders.

[Reactie gewijzigd door Steyn_E op 27 juli 2024 02:11]

[P_Tingen]

Mee eens; ik snap die discussie ook niet. Alsof je dan ineens heel veel malware binnenhaalt. En áls je daar al bang voor bent, dan installeer je toch gewoon géén alternatieve appstore? Als je de moeite neemt om een andere appstore te installeren, weet je / moet je weten dat daar mogelijk risico's aan verbonden zijn. En dus doe je dat bv niet op de iPhone van je oma

[Verwijderd]

De play store is vooralsnog geen ‘open’ store.

[TheVivaldi]

Klopt, alleen die van Ubuntu Touch is een ‘open’ store.

(voor de duidelijkheid: het is een woordgrapje omdat de appwinkel op Ubuntu Touch ‘Open Store’ heet)

[Verwijderd]

badum tsss

[TheVivaldi]

Precies.

[demokert]

Dat geeft m.i. nog steeds geen garantie, kan via Apple ook gebeuren.

https://support.apple.com...software-mchleab3a043/mac

[Fly-guy]

Ach, als je weet dat er 3 miljard Android toestellen actief zijn en daar dan "slechts" 10 miljoen van besmet zijn, is de kans op "troep en rommel" niet heel groot.

Dat risico loop ik graag als daar wat meer openheid tegenover staat.

www.theverge.com/platform...r-smartphones-google-2021

[SunnieNL]

Ook in de Apple AppStore gebeurd dit: https://blog.zimperium.co...it-into-apples-app-store/
En een jaartje eerder https://www.notebookcheck...e-App-Store.440350.0.html

[Reactie gewijzigd door SunnieNL op 27 juli 2024 02:11]

[Cyb]

Het probleem begint bij educatie. Veel mensen installeren blindelings zonder enige twijfel allerlei apps op hun mobieltjes. Ze moeten leren dat elke app potentieel gevaarlijk kan zijn. Is het niet gevaarlijk kwa security, dan kan het alsnog gevaarlijk zijn voor privacy.

[Verwijderd]

En zou het bij Apple anders zijn als je een app indient die niks doet, maar pas na 6 maanden andere data van de server haalt? Die keuringen blijven toch maar moment opnames?

[Mushroomician]

Er is een groot verschil tussen een streng gecontroleerde omgeving aanbieden en opdringen. Dat laatste kan namelijk alleen maar een commercieel besluit zijn in opdracht van aandeelhouders.

[dave1995]

Daar kies je voor als gebruiker. Prima vind ik zelf, net zoals een Android gebruiker daar voor kiest bij het aanschaffen van een Android telefoon.

[Mushroomician]

Het is geen keus maar een gegeven. Doen iPhone gebruikers dat ook met alle andere zaken in het leven? Of het nou gaat om auto onderdelen, het moederbord in de koelkast, of de meterkast in een huis: Wanneer het van jou is doe jij ermee wat jij wilt.
Dat een koper vast houdt aan "die betrouwbare leverancier" is prima (keuze), maar hij kan niet jouw spul saboteren om dat te houden.

[Reactie gewijzigd door Mushroomician op 27 juli 2024 02:11]

[divvid]

De keuze is meer bepaald door het doel: met mijn phone wil geen gedonder, het is een tool die vooral altijd moet werken, even zo voor woon werk auto.

Daarbuiten draai ik graag beta of zelfs alpha spul om te helpen met bugs, rij ik graag voor de lol in notoir onbetrouwbare oude alfaatjes en vind ik nieuwe gadges leuk om mee te spelen.

[m_snel]

Dat kan natuurlijk een keuze zijn, maar over het algemeen kun je ook telefoons kopen van 50-100 euro. Neem voor het gemak aan dat vele geen idee hebben dat het ook anders kan

[mbbs1024]

Dat vindt ik geen valabel argument, je bent niet verplicht om alternatieve app stores te gebruiken, je kan het dus gewoon bij de strenge Apple store houden als je alternatieven niet ziet zitten.

[Ocin32]

Wat kun je eigenlijk doen als je ingeschreven bent bij zo’n vage sms dienst die jou geld rekent per ontvangen sms’je en je geen idee hebt hoe daarvan uit te schrijven? Helpen providers je in dat geval uit de brand oid?

[Jeraldo]

https://www.rijksoverheid...d/ongewenste-sms-diensten

[sympa]

In ieder geval ook klagen, want het wordt tijd dat ze deze oplichting afschaffen.
En in dat artikel staat dat ze een expliciete toestemming moeten kunnen aantonen boven de 1 euro 50...

[ergoud]

Ga naar https://www.payinfo.nl/ daar kan je zien of je een dergelijk abonnement hebt en kan je ook gelijk de diensten blokkeren voor de toekomst.

Geldt helaas alleen voor de Nederlanders ik weet niet hoe dit in België is geregeld

Registreer en ze kunnen de dienst nooit afsluiten, doen ze het toch is de provider verantwoordelijk

[THA_ErAsEr]

Ik dacht dat in België in het algemeen geld, dat als iemand jouw producten of hier bijvoorbeeld sms'en stuurt, dat zij uitdrukkelijk moeten kunnen bewijzen dat jij erom hebt gevraagd en dat je zou betalen. Als jij van mening bent dat dat niet zo is, hoef je niet te betalen en dient de andere partijd dus met de bewijzen te komen.

[batteries4ever]

Ja... maar dat "bewijs" is dan de click op die link. ja hoor, heus geclickt!

[bilgy_no1]

Het hele business model is erop gebouwd om zoveel mogelijk 'gedoe' op te werpen om ervan af te komen. Veel mensen weten niet eens waar ze zouden moeten beginnen, laat staan dat ze doorgaan als ze een paar keer hebben geprobeerd.

Leuk dus dat je ze kunt vragen om aan te tonen dat je die dienst zou hebben aangevraagd, maar dan reageren ze gewoon niet. Kun je weer bellen met dat bedrijf, maar ze zitten in de UK en nemen de telefoon niet op. Stuur je ze een e-mail, maar ook zonder respons. Ondertussen blijven ze €5 per week via je telefoonrekening incasseren.

Het is gewoon pure fraude en diefstal en de telefoonmaatschappij moet zijn gebruikers hiertegen beschermen. In mijn ervaring werkte dit prima en was ik er snel en zonder schade vanaf. Maar als je pas na een maand reageert en je dan nog even laat afschepen ben je al snel veel geld kwijt. Waarschijnlijk veelal door mensen die dit eigenlijk niet kunnen missen.

[THA_ErAsEr]

Nog een keer. Jij moet NIETS bewijzen en je moet niet betalen. As de tegenpartij van mening is dat zij volgens de wet hebben gehandeld, moeten ZIJ dat aantonen.

Belgie:
https://moneytalk.knack.b...l?cookie_check=1632995801

Nederland:
https://www.consuwijzer.n.../ongevraagde-toezendingen

[bilgy_no1]

De links die je stuurt gaan over het ongevraagd toezenden van producten. In dat geval stuurt een bedrijf bijv. een deel 1 van een encyclopedie 'gratis' toe en stelt vervolgens dat je een maandelijks bedrag moet betalen voor de volgende delen. De claim is dat de consument, door Deel 1 niet terug te sturen, stilzwijgend akkoord is gegaan met het abonnement. Essentieel: de consument heeft dan nog niets betaald. Het recht staat hier aan de kant van de consument: die hoeft niets terug te sturen en hoeft niets te betalen.

De vorm van fraude waar het hier om gaat is een andere. Je klinkt onbewust op een link die de fraudeur opslaat als bewijs dat je een abonnement hebt afgesloten. Zij melden zich bij de telefoonmaatschappij en claimen dat je een abonnement hebt afgesloten waarbij de afrekening via je telefoonfactuur gaat. Je krijgt dus niets toegestuurd wat je kunt retourneren én: er worden direct kosten in rekening gebracht via je telefoonfactuur. Deze worden ook door de telefoonmaatschappij geïncasseerd (en doorbetaald aan de fraudeurs, minus uiteraard een handling fee).

De consument heeft nu dus wel betaald voor een niet-gewenste dienst. Als die dus zijn geld terug wilt krijgen zal hij wel degelijk actie moeten ondernemen. En dan loopt hij tegen een berg onwil en obstructie aan. Het beste is dus om dit via de telefoonmaatschappij terug te eisen, waarbij uiteraard ook geldt dat als je pas na maanden actie onderneemt het waarschijnlijk moeilijker wordt om alles ongedaan te maken.

Het best zet je dus de mogelijkheid om diensten via de telefoonfactuur te betalen helemaal UIT. In Nederland kan dat via Payinfo.nl.

De vraag van @ergoud is hoe het in België feitelijk geregeld is. Misschien dat de functie daar standaard UIT staat. Maar zo niet, hoe kun je dan instellen dat je geen diensten via de telefoonfactuur betaalt?

[bilgy_no1]

Ben zelf wel eens op zo'n dienst 'ingeschreven' geraakt. Dat ging heel sneaky. Ik klikte per ongeluk op het toetsenbord op het .GIF knopje, heb vervolgens nergens op 'Akkoord' oid geklikt en ben meteen via de Back knop terug gegaan naar het gewone toetsenbord. Zag later opeens een SMS bericht dat ik een abonnement zou hebben afgesloten bij een UK bedrijf dat bekend staat om dit soort praktijken.

Direct gebeld met T-Mobile, die hebben het reeds in rekening gebrachte bedrag zonder gedoe direct teruggestort. Daarna heb ik het zelf allemaal uitgezet via de instellingen en kan het uberhaupt niet meer voorkomen. Heb overigens wel bij T-Mobile mijn verbazing uitgesproken dat de mogelijkheid om dit soort 'diensten' via je abo te betalen standaard op AAN staat.

[Mushroomician]

Ik dacht dat een trojan inhoudt dat er ook controle wordt uitgeoefend in de gecamoufleerde app,. Een reverse shell dus naar een "beheerder". Daar lijkt hier geen sprake van?

[Reactie gewijzigd door Mushroomician op 27 juli 2024 02:11]

[StackMySwitchUp]

Lijkt op ordinaire malware/adware, notificaties en een website tonen is nu niet erg nieuw ofzo. Het feit dat ze zo succesvol zijn geweest is wel interessant, vreemd dat mensen zomaar dit soort troep binnenhalen.

[Soldaatje]

200 verschillende apps met de malware erin, allemaal maanden in de Play Store. Dat verwacht je niet, je verwacht dat het veilig is.

[latka]

Waarom verwacht je dat? Je levert binary meuk aan aan de appstore. Er draait daar iets van een virusscanner die bekende malware herkent. Misschien iets geavanceerder en dan is het heuristisch. Er is geen enkele mogelijkheid om te bewijzen dat een stuk software geen malware bevat met 100% zekerheid. Wie dat wel claimt bedriegt de boel. Daarnaast kunnen apps ook via het internet evil zaken sideloaden die buiten de appstore omgaat. We moeten echt gaan realiseren dat appstores een gemak ding zijn, maar meer niet: het is niet veiliger. En het is ook al niet overichtelijker (want teveel apps en iedereen mag erin). De volgorde waarin zaken getoond worden in lijstjes in de store zijn ook volledig onduidelijk. Dat je opmerking een +2 krijgt verbaast me dan ook. Ik had op een forum als deze verwacht dat er iets kritischer gekeken zou worden naar dit soort zaken.

[curumir]

Het is inderdaad geen 100%, maar het gebrek aan grote virus-schandalen in zowel de Google als Apple app-store geeft toch duidelijk aan dat het zeker goed functioneert. Aangezien dit al blijkbaar maanden speelt mag best verrassend zijn.
Daarbij is het natuurlijk veel meer dan binaire meuk die er gescand wordt. Je hebt standaard API-calls en voor een groot deel een vaste taal en zelfs compiler die gebruikt worden. Daardoor kunnen ze veel meer detecteren dan jij doet voorkomen.
Een App Store is 100% zeker veiligER, maar natuurlijk niet 100% veilig. De meeste echt gevaarlijke virussen worden toch echt geïntroduceerd via sideloaden en vage Chinese app-stores.+

De overzichtelijkheid mag zeker beter, en is volgens mij ook al lang een klacht van veel developers. Meer dan de 15/30% afdracht, maar dat is een ander verhaal...

Je laatste regel zal ik maar niet verbatim over nemen, maar ja, van toepassing is ie wel.

[uiltje]

Nou ja, vergeleken met dit soort apps van verschillende plaatsen op het internet laden en die alleemaal zelf de updates laten uitvoeren is volgens mij sowieso een stuk onveiliger. Dat ze [edit: app stores] veiliger zijn dan het alternatief is volgens mij wel te bewijzen, maar ze geen een waterdichte oplossing zijn lijkt me ook evident.

Meestal worden dit soort apps redelijk snel verwijderd; dit is in die zin wel een eye opener. Goed dat Tweakers er mee komt.

NB: als je er vanuit gaat dat er meer software beschikbaar is door de app stores verschuift de balans misschien; het kan best zijn dat je anders nooit de betreffende software had gedownload, en géén app is altijd beter dan één app...

[Reactie gewijzigd door uiltje op 27 juli 2024 02:11]

[latka]

Aan de andere kant is het een centrale store zo dat je met 1 hack alles en iedereen kunt raken. Vanuit risico spreiding is een appstore het omgekeerde van wat je wilt.

[uiltje]

Dat zie ik niet. De software is gecompileerde software. Of je die nou op een centrale server van jezelf zet of in de app store maakt toch niet uit? Dit is geen hack van goede software, dit is malware die zo gemaakt is.

[latka]

Beetje onhandig gezegd. Wat ik probeerde te zeggen is dat als het je lukt om met 1 stuk malware door de scanners te komen je vervolgens heel eenvoudig een serie andere apps kunt uploaden met dezelfde malware. Een beetje hetzelfde als Windows is een gelief target voor malware want meer dan 90% van de mensen gebruikt windows en bananenplanten zijn allemaal gekloond dus vatbaar voor dezelfde virussen etc. Als je het op de ouderwetse distributie wijze doet kan dat ook, maar aangezien iedereen en zijn moeder een andere virusscanner draait is het lastiger en daarbij mist dan ook het centrale distributiemodel waarbij je met een beetje geluk ook nog naar boven geduwd wordt in de ranking.

[batteries4ever]

Ik weet niet of @Soldaatje wel specifiek de Tweakers bedoelde toen hij dat zei...
Weet je tante ook ook dat de Play Store meuk bevatten kan? Van de gemiddelde Tweaker mag je in principe een wat kritischer houding verwachten, maar weet jij dan precies welke games wel of niet zoiets bevatten. Ik heb gelukkig een iOS toestel, maar ook Apple kan waarschijnlijk geen 100% garantie geven...

[Marctraider]

Je verwacht nog minder dat mensen er op klikken en niet meteen hun telefoon uitzetten of iig direct maatregelen nemen.

[bilgy_no1]

Ik verwacht helemaal niet dat Apps in de Play Store veilig zijn. Ik check de gevraagde Permissies, zoek de Publisher op en als ik het niet vertrouw installeer ik het niet. Sowieso installeer ik maar weinig apps, maar voor ik iets installeer ben ik super achterdochtig.

[eclipse1919]

4gOny: en hadden ingenieuze manieren bedacht om ongedetecteerd te blijven.
en je ongenuanceerde opmerking over de aps is overbodig anderen hebben er wat aan, en lees eens goed wat er staat.

[TheekAzzaBreek]

Kan, maar hoeft niet.
Een trojan is oorspronkelijk simpelweg een programma dat zich anders voordoet dan het is.

Dit is een behoorlijk old school geintje. Die truuk met sms diensten was lang geleden populair toen smartphones net populair werden, ik wist niet dat het nog voorkwam.

[Alfa1970]

Per definitie is een trojan een stukje malware dat verpakt is in iets "leuks" dat je graag wilt hebben en dan ook zelf installeerd. De inhoud kan van alles zijn.

[ballo50]

Een trojan of Trojan horse is niets meer dan een bestand, programma of app wat zich anders voordoet dan het daadwerkelijk is. De naam Trojaans paard komt uit de Griekse mythologie: https://nl.wikipedia.org/wiki/Paard_van_Troje

Het hoeft dus niet meteen een command en control functie te hebben.

[FreshMaker]

Gelukkig dat je wat uitleg geeft wat een Trojan horse is op een geek website, anders wist niemand waarover het ging …

Niet iedereen is gelijk professor op zijn eerste school

[P_Tingen]

Ik durf anders te wedden dat er genoeg mensen zijn - ook hier op tweakers - die de link met het Paard van Troje niet gelegd hadden (of überhaupt daarvan gehoord hebben)

[Verwijderd]

10 miljoen lijkt veel maar het is minder dan een kwart procent van alle android gebruikers wereldwijd.

[hooibergje]

Dat is de kleine fractie die in 2021 nog steeds dom genoeg is om dat soort linkjes te klikken...

[latka]

10 miljoen is veel. Er zijn gewoon absurd veel android gebruikers.

[sjitz]

Naast de distributiemethode vind ik dit allemaal ("je hebt een prijs gewonnen!"/belachelijk geprijsde SMS dienst) wel heel 'oldest trick in the book'. Heeft Zimperium iets gezegd over het soort mensen dat valt voor deze apps? Zijn het veel mensen die voor het eerst een smartphone (of zelfs internetverbinding) hebben?

Ook vraag ik me af hoe mensen bij dingen als Handy Translator Pro eerder op hun smartphone krijgen dan Google's/Microsoft's vertaalapp. Heeft de bende betaald om hun onzinapps bovenaan te laten verschijnen als men zoekt naar de functionaliteit?

[Daoka]

Ook vraag ik me af hoe mensen bij dingen als Handy Translator Pro eerder op hun smartphone krijgen dan Google's/Microsoft's vertaalapp.

Het zouden mensen kunnen zijn die vanwege de data verzamelen niet zulke apps willen gebruiken. Of dat apps / programma's (dus ook andere dan deze vertaal apps) te uitgebreid is waardoor mensen het niet snappen, willen of juist een functie missen die in andere apps wel zitten. Ik gebruik zelf bijvoorbeeld niet de standaard media player van me telefoon om mp3tjes te luisteren. Hiervoor gebruik ik EZ Folder player. Waarom? Ik heb geen behoefte om de id3 tags te gebruiken. Ze staan gesorteerd in de mappen zoals ik wil en dat is prima voor mij. Ook heb ik geen behoefte om veel ingewikkelde instellingen te hebben of extra spullen zoals nieuwsberichten over de muziek wereld.

Uitleg en reclame op websites. Ik heb bijvoorbeeld wel eens een serie of film gezien waar er een Chinees bericht stond op een brief zonder vertaling. Omdat ik geen app wou installeren voor 1 keer en ik geen chinees op me telefoon of computer heb zocht ik op "naam film/serie plus aflevering nummer wat staat er op de brief". En soms gaven ze ook dus tips van wil je meer vertalen instaleer dan deze app. Of advertenties over vertaal apps waar deze dus zouden kunnen gepromoot worden.

[Polydeukes]

Als het om slechts een kwart procent van alle Android gebruikers gaat, en je legt daar een normaalverdeling van IQ overheen, verbaast het mij niks. Dat kunnen zomaar miljoenen mensen met een heel laag IQ (<75) zijn die tech niet begrijpen en zich de risico's ook niet kunnen voorstellen. Je hoopt dat er iemand is die ze beschermt tegen de gevaren van onze maatschappij, maar de praktijk is anders.

[Arator]

Dus je hebt een android toestel, dat normaal bij verkoop al wordt volgepropt met allerhande apps van de producent en van google, en nog ga je dan een translator app downloaden ipv google translate te gebruiken?

[Yzord]

Waarom zou je je telefoonnummer invoeren bij een spammende notificatie? Ieder nadenkend persoon weet toch wel dat het geen zuivere koffie is? Hoe ga jij een cadeau krijgen over een telefoonlijn?

[janklo]

daarom niks echt zinnigs op mijn telefoon. geen bank app, geen qr code, niks.

[Franckey]

daarom niks echt zinnigs op mijn telefoon. geen bank app, geen qr code, niks.

Ik doe het andersom, ik installeer alleen zinnige dingen.

[goofy_os2]

De bende bracht de geïnfecteerde apps uit in de Google Play-store en alternatieve appwinkels voor Android en dat in heel wat categorieën

Het blijkt maar weer eens dat je in principe nooit buiten de Playstore om iets moet installeren. Binnen de Playstore hoort Google te zorgen dat het veilige Apps aanbiedt.
Verder heb je zelf ook een verantwoordelijk voor waar je allemaal opklikt...

[Amadeus1966]

"De bende bracht de geïnfecteerde apps uit in de Google Play-store"......

En vervolgens schrijf je "Het blijkt maar weer eens dat je in principe nooit buiten de Playstore om iets moet installeren".