Android-trojan haalt malware binnen via Market-update

Een nieuwe vorm van malware voor Android werkt door gebruikers een onschadelijke applicatie te laten installeren, om deze vervolgens te laten updaten met schadelijke code. Dat claimt beveiligingsonderzoeker F-Secure.

Alhoewel het niet de eerste trojan voor Android is, is de methode van infectie wel nieuw, zo meldt beveiligingssoftwarebedrijf F-Secure. De bewuste applicatie, die deels Chineestalig is, lijkt niet in de Android Market te staan. Direct na de installatie laat de software weten dat er een update beschikbaar is, waarbij niet eenvoudig zichtbaar is dat het om een andere applicatie gaat. De schadelijke 'update' vraagt weliswaar om twee nieuwe permissies op het Android-toestel, maar ook normale applicaties hebben soms nieuwe permissies nodig, zodat gebruikers hier vaak niet alert op zijn.

De malware is in staat om roottoegang te bemachtigen. Hiervoor wordt een exploit gebruikt die niet op alle Android-toestellen te vinden is: het lijkt erop dat met name smartphones met Android-versie 2.2 vatbaar voor de malware zijn. Volgens F-Secure wordt er bij de update een variant geïnstalleerd van DroidKungFu, malware die eerder al voor het Android-OS opdook. Deze malware kan onder andere ongezien applicaties installeren, url's openen en bestanden verwijderen. Ook wordt er persoonlijke informatie vergaard.

Reacties (93)

Hoe bescherm je je smartphone hier tegen?

Unknown application source uitvinken zal denk ik hier al tegen werken.
De installer van de update wordt als ik het zo lees niet via de market gedownload.

Dus krijg je een foutmelding dat je eerst unknown application source moet aanvinken..

Niet zomaar een applicatie downloaden van onvertrouwde bronnen (buiten de Market om) en ook binnen de Market voorzichtig zijn door bijv. eerst even naar reviews/waarderingen te kijken.

Deze apps worden voornamelijk verspreid door losse APK installaties en of niet legale markets. Wanneer je normaal met de market omgaat loop je niet zoveel risico.

Daarbij is het gewoon belangrijk om de persmissies te controleren op moment dat je een app installeert.

Persoonlijk vindt ik de oorzaak van deze problemen bij de gebruiker liggen en niet bij Android....

Het is niet als bijvoorbeeld bij Windows (wel het geval was) dat een poort openstaat en dat er zomaar iets op je telefoon kan wordt geïnstalleerd

Ik heb helaas wel n keer n virus via de market binnengehaald. Ik weet ook niet of market-apps worden gescreend vantevoren? Wel kreeg ik er vlak na een e-mail met de melding dat ik snel de fix ervoor kreeg gepushed. Dat is wel netjes. Maar in principe zou dat niet op de market mogen verschijnen.
Het was overigens een flashlight-app voor mijn x10.

Android Apps worden niet gechecked voordat ze in de Market komen. Mocht blijken dat er mallware inzit kunnen apps die via de Market zijn geïnstalleerd worden verwijderd door Google.

Deze heb ik ook gehad inderdaad.
Maar mijn virusscanner van AVG merkte dit meteen op.
Ik zit er nu over na om de betaalde versie van Kaspersky te kopen als ik dit soort berichten zo lees.

Ik heb mijn telefoon nu ook geroot en LBE security service geinstalleerd.
wat ben ik daar ontzettend blij mee.
Je kunt alle instellingen blokkeren zoals:
toegang tot contactenlijst
volledig netwerk
toegang gesprekkenlijst.
enz.

Zo kun je alles goed instellen.

De grootste zwakheid ligt toch bij de gebruiker en dan pas bij het systeem vind ik

[Reactie gewijzigd door JayZer op 27 oktober 2011 08:47]

Precies, en zoals je in de screenshots ziet is het al duidelijk voor ons.
Voor een update van een applicatie met nieuwe permissies moet je ze opnieuw accepteren, of hij nou uit de market komt of niet, dat maakt niet uit.

De gebruiker accepteert dus zelf dat hij toegang geeft tot alles waar hij om vraagt. Ik vind het niet echt malware dit, het is iets waar je sneller in trapt, dat klopt, maar het is niet iets wat gebruik maakt van een veiligheidslek.

android-trojan-haalt-malware-binnen-via-market.html

Zie je het verschil?

Oftewel, een malware wordt binnengehaald middels een trojan. En als ik de grieken mag geloven, is een Trojaans paard een streek waar je intrapt. Hierna heb je dus wel malware op je telefoon....

De bewuste applicatie, die deels Chineestalig is, lijkt niet in de Android Market te staan.

en dit geldt voor het grootste aantal android-malware. Download geen chinese apps (je hebt er toch niets aan) en lees altijd goed de machtigingen die een app vereisen. Zoals je ziet vraagt de calculator-app (vermoed ik, aangezien de icon) belachelijk veel permissies, dit ruikt al naar malware.

Android-malware wordt maar vernuftiger en vernuftiger. Gelukkig staan de meesten niet in de market, maar wie weet wat voor monsters er nog komen in de toekomst

Ja, maar dat is juist het probleem, mensen die Android nemen preken altijd over hoe cool het is dat je 'gewoon een apk'tje kan halen en doen', terwijl dat inde praktijk maar 2 dingen betekent: gekraakte software (dus geen inkomsten voor de ontwikkelaar) en malware...

Overdrijven is ook een vak. Ik heb ook een android en heb ook al wel eens een iets-minder-legale apk gedownload en gebruikt. Heb ik daardoor malware opgelopen ? Nee. Permissies checken en er is niks aan de hand. Trouwens, er bestaan wel degelijk een heel aantal programma's die niet in de market staan, en dus vereisen dat je een .apk installeert. Hier is niks mis mee.

Als ik voor mijn telefoon een app ontwikkel kan ik die gewoon zelf op mijn telefoon zetten zonder ook maar 1 euro uit te hoeven geven aan ontwikkelings-licenties of iets dergelijks. En als mijn buurman, neef of collega dezelfde app heeft kan hij die zo krijgen.

Als de fabrikant van mijn telefoon of provider vind dat een app niet op mijn telefoon mag staan omdat deze om wat voor reden dan ook niet geschikt is. Bijvoorbeeld omdat hij Tethering mogelijk maakt heb ik de vrijheid deze alsnog op mijn telefoon te zetten.

De reden dat ik kan tetheren met mijn telefoon is omdat de providers er na 3 maanden android achter kwamen dat dit niet door afspraken met telefoon providers tegen te gaan was.

En ja, je hebt bij Android de keuze voor een relatief veilige Market omgeving en een iets onveiligere .APK download. Gelukkig heb ik datzelfde probleem bij mijn PC ook. Ik kan relatief veilig in de winkel een programma kopen of iets onveiliger een programma downloaden van een willekeurige site.

Gelukkig is het groot nieuws wanneer er malware voor android opduikt. Betekent dat het nog relatief bijzonder is. Wanneer er malware voor de pc opduikt hoor je het alleen als half nederland plat ligt.

terwijl dat inde praktijk maar 2 dingen betekent: gekraakte software (dus geen inkomsten voor de ontwikkelaar) en malware...

Voor mij betekend dit in de praktijk dat ik gratis en zonder gezeur van één of ander bedrijf m'n apps kan developen en testen op m'n Hero. Ik gebruik de emulator van de Android SDK liever niet. Trouwens moet je je ook registreren bij Google als "developer" (kost je 25 dollar) als je wil dat je app in de market komt. Dat is iets waar ik GEEN behoefte aan heb, aangezien ik alleen voor mezelf code opklop.

Google heeft altijd al programmeurs willen stimuleren (zie ook de summer of code). Als je geen bal afweet van wat er speelt in het mobiele malwareland en je hebt schrik, dan koop je toch gewoon een iDevice. Zij die wel weten wat ze (kunnen/mogen) doen gaan voor een Android.

Een PC is minstens even (on)veilig. Bij Android gaat het in het geval van malware al snel om "vage sites". Vergeten we even niet dat Sony een tijd terug rootkits op hun muziek-cd's bijleverde? Toch een "bron" die je zou moeten kunnen vertrouwen.

[Reactie gewijzigd door Tokkes op 27 oktober 2011 22:54]

Ik neem aan dat Lookout na de update wel te keer gaat.

Ik heb een antivirus draaien, maar je weet het natuurlijk nooit zeker aangezien die natuurlijk niet meteen de definities heeft om hem te detecteren zodra hij uit is. Gewoon goed opletten dat je geen rare zooi installeert is meestal wel al voldoende, en ook een keertje nadenken als een zaklamp applicatie opeens volledige internettoegang en gps toegang enzo wil hebben.

Geen apps met chinese teksten installeren? Verder valt hier weinig tegen te doen op dit moment, het valt te hopen dat Google deze applicaties uit de Market weet te weren.

Haha je kan van Gdata een virusscanner nemen voor op je android toestel

Als je de nieuwste market hebt dan ziet een update er anders uit. Als je dit install scherm ineens ziet dan is het duidelijk malware. En klik dus op cancel

Je kan eigenlijk niets meer doen dan nadenken, als het een app is die jij niet kent en niet hebt geïnstalleerd update je deze toch niet!

Net zoals die app die keurig werd doorgelaten die tethering via een omweg kon toelaten op je I-phone.
Weet jij veel wat die andere applicaties doen buiten tethering om.

Wel keurig verwijdert, maar dat doet Google ook met zijn appstore voor zover ik het weet.

IOS of ander apple software is geen vrij waring van ongewenst gedrag.
Ook andere OS'en zijn dat niet.

[Reactie gewijzigd door Emunator op 26 oktober 2011 18:13]

Weet jij veel wat die andere applicaties doen buiten tethering om.

Bijzonder weinig vermoed ik, ze zitten redelijk gesandboxed volgens mij

Tethering zit gewoon in de iPhone hoor; vinkje aan en klaar is de jas. Daar heb je helemaal geen app voor nodig.

Mede om deze veiligheidsreden laat ik Android nog even voor wat het is, en dat zouden app-makers ook moeten doen als ze een centje over willen houden aan hun werk. Kost het meer in de appstore? Ja. Is het veiliger? Ja. Doel bereikt? Inderdaad. De hamvraag: Betaal ik graag iets voor veiligheid, gebruiksgemak en betrouwbaarheid? Zeker weten.

Maar als je geen centjes hebt, of je knutselt graag aan je foon, dan is het zeker een alternatief.

True, maar je kan by default niet buiten de Appstore om dingen binnen halen. Dat is dan ook niet nodig als het aanbod goed genoeg is. bij Android wel, en dan heb je dus automatisch geen bescherming meer.

By default kan dat op android ook niet, dat moet je expliciet toestaan.
Toegegeven, bij ios heb je een developer license nodig, maar toch, ook bij android moet je handelingen verrichten.

Ja, een vinkje aanzetten. Wat een handeling! Zeker niet aan te raden voor beginners!

Ja, een vinkje aanzetten die je alleen maar aanzet wanneer je daadwerkelijk iets buiten de market om wil installeren. Hadden ook 2 vinkjes mogen zijn maar daar los je niks mee op. Ben blij dat dat vinkje geen €99,- kost.

Snap niet dat mensen het normaal vinden dat een computer geld vraagt (als beveiligingslaag) voor de vrijheid om te installeren wat je wil.

Maar misschien een voorstel voor het volgende OS van Bill Gates. Als je bij het installeren van nieuwe software nu een klein bedrag moet doneren aan zijn portemonnee voordat je het kan installeren. Dan doet Bill eerst even een check of de nieuwe versie van Firefox wel voldoet aan de richtlijnen van Microsoft.

Welke controle? je krijgt geen overzicht van wat een applicatie kan als je deze installeert, een hele reeks functionaliteiten zijn compleet afwezig en je kunt remote geroot worden..maar ja, als je daardoor beter slaapt veel plezier dan

mensen die in de market een malware neer zetten zijn toch mensen die een nieuwe account hebben of ontwikkelaars zijn toch?
is het dan niet verstandiger dat je beginnende ontwikkelaars gaat toetsen of minder permissies laat aan vragen bij een app?
jah ik weet het dat de market open is maar als straks 100 miljoen toestellen een malware hebben opgelopen door een update dan zul je zien dat binnen een dag niemand meer wat gaat downloaden uit de market.

mensen die in de market een malware neer zetten zijn toch mensen die een nieuwe account hebben of ontwikkelaars zijn toch?
is het dan niet verstandiger dat je beginnende ontwikkelaars gaat toetsen of minder permissies laat aan vragen bij een app?
jah ik weet het dat de market open is maar als straks 100 miljoen toestellen een malware hebben opgelopen door een update dan zul je zien dat binnen een dag niemand meer wat gaat downloaden uit de market.

De titel van dit artikel is misleidend, de app in kwestie doet helemaal niets via de officiele Android Market. Je installeert hem via een losse .apk of via een van de alternatieve (= ongecontroleerde) markets en vervolgens laat de app een update binnenhalen met de daadwerkelijke malware.

Iedereen die reageert met: "Android is niet veilig" "opensource is niet veilig" hebben het niet begrepen. Zoals vermeld in het artikel vraagt de app om nieuwe / extra rechten. De gebruiker is dus eindverantwoordelijk, en niemand anders!

'root' rechten staat niet bij dat lijstje, maar die extra rechten worden wel uitgebuit vanwege een lek. Ik weet trouwens niet hoe duidelijk die rechten worden vermeld op een Chinese telefoon? Genoeg Chinezen (die het niets kan schelen dat ze malware hebben draaien); dus meer spam in de wereld. Hoera.

Wat een onzin. Zoals in het artikel staat is het heel gebruikelijk dat een App bij een update vraagt om extra rechten en dat iemand die dan gewoon toekent, immers anders kun je de update niet draaien. Android is gewoon vatbaar voor exploits. Vele malen vatbaarder dan de hermetisch gesloten Apple App Store. Als het op de Apple servers staat dan kun je er van uitgaan dat het betrouwbaar is.

Hoewel hier niet direct gevaar is voor de gemiddelde gebruiker vind ik toch dat er iets moet veranderen aan het permissions systeem van Android. De permissions die benodigd zijn worden zo kort uitgelegd, maar vooral ook vaag. Veel apps hebben "Volledige internettoegang" nodig. Wat betekent dit in hemelsnaam? De meeste apps hebben maar 1 of enkele site/server nodig om goed te werken, maar toch zal Android je doodleuk vertellen dat de app "volledige internettoegang" nodig heeft.
Als er nou staat "deze app wilt verbinden met facebook.com en twitter.com" is al veel makkelijker te controleren of de app iets kwaadaardigs wilt doen (Al blijft het mogelijk).
Dit is een voorbeeld maar met meer permissions is dit zo. Ze zijn zo breed dat de developers (bijv. op xda) toch meermaals gevraagd moet worden "Waarom heeft deze app deze permissie???" Dit heeft dan toch geen zin zo?

Mee eens, maar wat ik uit het artikel begrijp heeft Android al meer keuzes dan de UAC van windows;
alleen recht geven om een nieuwe install map te maken in Program Files is niet te onderscheiden van toegang tot myDocs, of zelfs de Windows directory.

En als er teveel gevraagd wordt verliezen mensen weer het overzicht. (bijv, een RSS tool moet dan voor 10-tallen sites permissie vragen, een browser voor 1000en, etc.)

Wees blij dat je ze tenminste te zien krijgt, het lijkt me dat het permissions systeem op android juist een pluspunt is tov de platformen die je geen informatie geven.

Als je ziet dat er nu al mensen de weinige info die er standaard staat wegklikken dan is het nutteloos voor die groep om nog meer in detail te treden, het zou overigens wel fijn zijn als die optie (meer info) er wel in zou zitten en de gebruiker er voor kan kiezen.

Verder is dit een storm in een glas water.

Ja ja en jij denkt dat iedereen echt ook altijd alle rechten nakijkt... ??

Imo is dit wel een manco hoor !

HET grote nadeel van al die app's die "gratis" zijn... ze willen overal bij kunnen

[Reactie gewijzigd door oldsmelly op 26 oktober 2011 17:23]

Tuurlijk denk ik dat niet Maar is dat mijn probleem? Moeten mijn mogelijkheden gelimiteerd worden omdat een ander niet kan lezen? Ik zie veel liever dat hij/zij ze hoofd stoot en dan meteen leert dat ie dat dus geen 2de keer doet (en dus voortaan gewoon wat beter leest).

Wat is de eerste reactie als je zegt "heb je dat dan niet gelezen of gezien?" Stond dat erin dan? Heb ik niet gelezen, Hè, kan dat ook, wist ik niet?, of nog erger, ik heb niets gedaan terwijl je weet dat er iets gebeurt moet zijn (maakt het probleem oplossen soms iets makkelijker/minder tijdrovend).
De meeste mensen willen zelfs niet lezen als het hun verder niet interresseert. En je wordt er vaak weer mee lastig gevallen omdat jij het wel "weet" en mag je het ook weer oplossen. Met andere woorden; dat is geen ezel maar een mens, die maakt meerdere keren dezelfde fout zonder na te denken.

Dus diegenen download op een (vage) Chinese site een vaag Chinese app, installeert die buiten de market om, leest dan niet de rechten en het is de schuld van android dat het fout gaat?

Als je alleen maar via de market je apps binnenhaalt, denk ik dat je in de praktijk nooit die rechten hoeft te lezen om alsnog geen problemen te krijgen, maar een goed idee is het wel. En dus helemaal als je buiten de market om dingen binnenhaalt.

Daarnaast is het een beetje de trend om de verantwoordelijkheid af te schuiven op anderen, in dit geval de fabrikant/ontwerper van het OS. Ik snap dat niet helemaal, het is jouw apparaat, als er manieren zijn om dingen zelf te controleren, dan moet je er gebruik van maken en niet wijzen naar een ander als je dat niet doet en het fout gaat.

Waar hoor je mij zeggen/schrijven dat het de fout van Android is, maar het staat er inderdaad een beetje raar als ik het zo weer over lees.
Mijn punt is gewoon dat mensen niet lezen en ook niet nadenken over de gevolgen die iets kan hebben als je iets niet (of juist wel) leest in dit geval. Ik schuif op geen een de schuld af behalve op degene die off-market-apps installeert, maar de "deskundigen" moeten het maar weer zien op te lossen volgens de "ongeletterde".

Bij nieuwere versies van Android krijg je trouwens wel duidelijk te zien welke rechten een app meer vraagt bij een update door het woordje 'new'/'nieuw' in een ander dan normaal kleurtje erbij Zo kijk je er dus ook niet zo snel overheen bij het updaten van een app...

Erg handig dus voor de niet zo oplettende gebruiker

Erg handig dus voor de niet zo oplettende gebruiker

En als ik een app wil installeren om mijn contacten te organiseren en deze app heeft toegang tot het adresboek nodig, hoe zeker kan ik dan zijn dat deze app mijn persoonlijke gegevens niet doorstuurt? Die zekerheid heb ik dus niet omdat de app niet gecontroleerd wordt, toch?

Euh deze kan je gegevens niet doorsturen tenzij je de app internet rechten geeft.

Goed opgemerkt

@mstam dan kan die mits die ook internet-rechten vraagt die versturen mooie is dat ik ZELF voor die keus sta om een app die die 2 rechten combineerd wel of niet te installeren, bij andere platformen weet je niet eens wat die app precies gaat doen, dan moet je maar hopen dat de eigenaar van de market/appstore daar goed op heeft gelet, en ook die maken fouten

Goed opgemerkt

@mstam dan kan die mits die ook internet-rechten vraagt die versturen mooie is dat ik ZELF voor die keus sta om een app die die 2 rechten combineerd wel of niet te installeren, bij andere platformen weet je niet eens wat die app precies gaat doen

Omdat deze geverifieerd is, hoef je je niet druk te maken over rechten. Wel zo prettig omdat je elke app zonder zorgen kunt installeren.

Dus die contacten organiseer app kan als je toestemming geeft ook ongevraagd info versturen. Het is daarom fijn dat deze app eerst fysiek geverifieerd wordt voordat het in de market verschijnt, lijkt mij zo.

Je ziet nu wat het resultaat is: weekselijkse nieuwtjes over lekken in Android.

Denk je nou echt dat er iemand bij Apple de hele dag nieuwe apps zit te installeren en controleren? Dat impliceert jouw "fysiek geverifieerd" namelijk. Dat gaat gewoon geautomatiseerd, waardoor je daar ook omheen kunt werken. Ik weet nog iets van een flashlight app die heel wat andere dingen deed dan een hele dure designzaklamp van je iPhone maken.

Zoals met welk platform dan ook, dit soort malware werkt alleen maar voor mensen die de moeite niet willen nemen om te lezen, of te bang zijn om het niet te begrijpen.

Edit: typo

[Reactie gewijzigd door FooLsKi op 26 oktober 2011 21:42]

Dat klinkt logisch, maar hoe betrouwbaar zijn diee rechten? Als je denkt geen online-rechten te geven behalfve auto-upate check; dan kan hij daarmee info verzenden.

Als je van dezelfde gebruiker een andere app installeert die wel online mag maar niet bij je data, maar ze onderling via een API of gedeelt bestandje kunnen praten, ben je als nog de klos lijkt mij.

Het zou handiger zijn als je selectief kunt selecteren wat een app wel en niet mag op jouw telefoon tijdens de installatie. Nu heb je soms een leuke app, bijvoorbeeld een image viewer, die netwerk acces en je contact wil benaderen. En je dat dan kan uitvinken.

Dat maakt het verkopen van advertenties in applicaties onmogelijk, en dus zal het dan afgelopen zijn met de gratis eenvoudige apps.

Dat klinkt alsof dat slecht is, maar eigenlijk heb ik er totaal geen moeite mee als software een beetje duurder is en meer waar voor het geld biedt. Nu hebben we een mist van lage kwaliteit onzinapps als de zaklantaarn (echt seriously, hebben we daar nu duizend van nodig?), om nog maar niet te beginnen over de fartapps in iOS.

Een imageviewer mag wat mij betreft gewoon alleen het recht hebben om images te viewen. Simpel. Niks extra toegang tot bv het netwerk. Wat heeft de app daar te zoeken? Niets. Per-app uit kunnen schakelen welke systeemfuncties gebruikt kunnen worden. (Netwerk, geluid, opvragen van persoonlijke bestanden/gegevens, etc, kan allemaal middels sandboxing beperkt worden.)

Lijkt me dat voor ads enkel netwerk-toegang nodig is, en geen contacts...

Verder is een image viewer zo simpel dat er op termijn wel een goeie komt zonder ads ook...

Dit valt niet goed te praten. De eindgebruiker blijft verantwoordelijk. Echter liggen de android devices onderhand bij de Lidl in de bakken. Je kunt er dus niet vanuit gaan dat alleen tweakers met android aan de haal gaan. Eenheid en duidelijk beleid is hier het probleem.

Android streeft vrijheid na maar er mag best meer informatie komen over de gevaren die bepaalde handelingen hebben. Uiteindelijk gaat je OS ook naar de filistijnen als gebruikers problemen krijgen met veiligheidslekken en exploits. Op een gegeven moment ontstaat er een beeld dat Android narigheid oplevert. Andere systemen die daar geen last van kunnen hebben als iOS en WP7 spinnen hier garen bij.

<Random comment over veiligheid iOS/WP7 tov Android>

Maar het is wel zo. Door heel strikte controle over het platform te houden is het zeer zeldzaam op iOS en WP7 dat dit gebeurt.

Overigens is dit eigenlijk "gewoon" hetzelfde als wat een virus op bijv. Windows 7 zou doen. Het installeert zich normaal maar vraagt daarna nog eens om toestemming (UAC) en zo komt 'ie binnen. Nieuw is het niet, maar blijkbaar op Android wel.

Idem met de schimmige "install deze Quicktime Plugin" malware op OS X.

het is gewoon je eigen domme fout, aangezien je dit niet via de maket binnenhaalt, ik ben blij dat wij als android gebruikers wel de optie krijgen, dit is net zoals sommige mensen denken dat zodra ze een virusscanner op hun pc hebben 100% beveiligd zijn en allerlei vage sites bezoeken (ook niet alles op de Android market is veilig) tegenwoordig leest niemand iets en klikt men gewoon op verder/installeren ( net als bijv toolbars op de pc)

[Reactie gewijzigd door [Remmes] op 26 oktober 2011 19:25]

Dus je wilt zeggen dat het niet mogelijk is om na een jailbreak op iOS uit alternatieve bronnen apps te downloaden?

nee, hij wil zeggen dat het niet de bedoeling is je foon te jailbreaken, en dat niet-kundige mensen dat niet eens kunnen, terwijl dezelfde mensen wél een vinkje kunnen wegklikken en op 'ok' kunnen drukken...

Lijkt me duidelijk..

Dat is met alles zo.
Op de meeste bedrijven zit het (meestal Windows-) systeem ook potdicht maar je mag niks.
Gewoon een tussenvorm zoeken tussen de uitersten (veilig maar je mag niks oftewel je woont in een huis met hekken er om heen) en (onveilig en je mag alles, je woont in een huis zonder sloten).