TechCrunch komt met tool die Android-toestellen op stalkerware controleert

TechCrunch heeft een tool gepubliceerd waarmee Android-gebruikers kunnen nagaan of hun toestellen stalkerware van TheTruthSpy bevatten. De data is afkomstig van TheTruthSpy-servers en bevat onder andere imei-nummers van honderdduizenden Android-gebruikers.

TechCrunch kreeg begin juni cachefiles van TheTruthSpy-servers in handen met daarin lijsten van imei-nummers en advertentie-id’s van Android-toestellen die in de maand april nog stalkerware-apps van TheTruthSpy bevatten. TheTruthSpy is een bedrijf dat begin dit jaar via TechCrunch in het nieuws kwam omdat het commercieel verkrijgbare software verkoopt waarmee smartphone- en desktopcomputergebruikers bespioneerd kunnen worden. De software bevatte bovendien een kwetsbaarheid waarmee gebruikersinformatie op de servers verkregen kon worden zonder dat er authenticatie nodig was. De redactie van de website ontdekte toen dat de stalkerware-apps van dit bedrijf minstens 400.000 Android-gebruikers had getroffen.

De stalkerware kan onder andere de gps-locatie, foto’s, webgeschiedenis, e-mail- en chatberichten en toetsaanslagen registreren. TheTruthSpy bracht een stalkerware-app uit onder zijn eigen naam, maar ook onder andere namen zoals Copy9, MxSpy, iSpyoo, SecondClone, TheSpyApp, ExactSpy, GuestSpy en FoneTracker. Deze apps communiceren volgens TechCrunch allemaal met dezelfde servers en de cachefiles van die servers heeft de website nu in handen.

TechCrunch raadt geïnteresseerden aan om de tool niet te gebruiken op het potentieel besmette toestel. De controle dient met een ander toestel uitgevoerd te worden. Gebruikers dienen vervolgens het imei-nummer of de advertentie-id van het toestel in te voeren in de online tool. Die controleert dan op aanwezigheid van de nummers in de cachefiles van de servers TheTruthSpy.

Als de tool aangeeft dat een Android-toestel besmet is, kan de stalkerware-app volgens TechCrunch verwijderd worden door Google Play Protect in te schakelen en de toegankelijkheidssinstellingen te controleren op onbekende services en deze vervolgens te verwijderen. TechCrunch stelt ook dat device admin-apps op Android gecontroleerd, en indien nodig verwijderd moeten worden. Gebruikers dienen ook hun Android-applijst te controleren op apps die ze niet herkennen.

De stalkerware-apps van TheTruthSpy worden meestal heimelijk op de toestellen van slachtoffers geïnstalleerd, maar de apps bevatten ook een insecure direct object references-kwetsbaarheid, of kortweg IDOR-kwetsbaarheid. Hierdoor kunnen hackers zonder authenticatie persoonlijke informatie van getroffen personen van de servers halen. De kwetsbaarheid werd aangeduid als CVE-2022-0732.

Reacties (10)

[ikt]

Als de tool aangeeft dat een Android-toestel besmet is, kan de stalkerware-app volgens TechCrunch verwijderd worden door Google Play Protect in te schakelen en de toegankelijkheidssinstellingen te controleren op onbekende services en deze vervolgens te verwijderen.

Wacht, maar dan is de tool van TechCrunch toch helemaal niet nodig om er vanaf te komen? Hoogstens handig om te weten óf je het hebt zonder het eraf te gooien, want dat doet Google toch al standaard...

[Eraser127]

Dat dacht ik ook meten toen ik het las. Zoals het nu geformuleerd wordt klinkt het als een overbodige stap in de controle.

[Bor]

Ik zou het niet direct een overbodige stap noemen. Het geeft namelijk wel inzicht welke je mogelijk niet direct krijgt wanneer je de Google Play Protect route direct gebruikt. De Stalkerware kan in verschillende vormen en onder verschillende namen aanwezig zijn.

[Bor]

Nee, zoals het er nu staat is de tool van Techcrunch niet nodig om er af te komen. Het geeft hooguit een indicatie of jouw toestel in de (waarschijnlijk reeds verouderde) cache files aanwezig is. Het doet niets om de malware te verwijderen.

[eric.1]

Google Play Protect staat toch standaard gewoon aan en scant periodiek alles? Dan lijkt me niet dat heel veel gebruikers deze stalkerware nog op hun telefoon hebben staan.

[Bor]

Dat hangt er vanaf of Play Protect de software automatisch verwijderd of niet. Daar kan ik maar weinig over vinden.

[eric.1]

quote: https://support.google.com/android/answer/2812853?hl=en

It may deactivate or remove harmful apps from your device

Het is er in ieder geval toe in staat.

Edit:

If it finds a potentially harmful app, it might:

- Send you a notification. To remove the app, tap the notification, then tap Uninstall.
- Disable the app until you uninstall it.
- Remove the app automatically. In most cases, if a harmful app has been detected, you will get a notification saying the app was removed.

[Reactie gewijzigd door eric.1 op 22 juli 2024 13:50]

[Bor]

De waarde van die cachefiles neemt met de tijd af lijkt mij omdat nieuwe "besmette" devices daar niet in zijn te vinden.

Als de tool aangeeft dat een Android-toestel besmet is, kan de stalkerware-app volgens TechCrunch verwijderd worden door Google Play Protect in te schakelen en de toegankelijkheidssinstellingen te controleren op onbekende services en deze vervolgens te verwijderen.

Is het controleren van bovenstaande niet sowieso een goed idee, los van deze "Stalkerware"?

[Bor]

Voor iedereen die de tool zoekt: Techcrunch spyware lookup tool (scroll naar beneden).

Gebruik op eigen risico. Je geeft uniek identificeerbare informatie in bij gebruik.
Techcrunch is overigens eigendom van AOL, Yahoo.

[Reactie gewijzigd door Bor op 22 juli 2024 13:50]

[Mr. Freeze]

Als ik een Android eigenaar zou zijn zou ik eigenlijk er nog meer benieuwd naar zijn hoe deze zooi op m’n telefoon terecht is gekomen. Als je de bron weet is dat gelijk een les voor de toekomst.