Onderzoekers brengen malware-developmentkit uit voor Android

Twee beveiligingsonderzoekers hebben een opensource-framework ontwikkeld waarmee op eenvoudige wijze malware voor het Android-platform gebouwd kan worden. Daarmee willen zij de kwetsbaarheden in Android aantonen.

Het Android Framework for Exploitation voor Android is gebouwd door beveiligingsonderzoekers Aditya Gupta en Subho Halder, en is geschreven in onder andere php, Ruby, bash en Python. Met de sdk kan volgens de ontwikkelaars op eenvoudige wijze geraffineerde malware voor Android-smartphones en -tablets worden ontwikkeld.

Standaard biedt de malwarekit acht templates aan waarmee kwaadaardige code is te construeren. Ook kan een ip-adres ingevoerd worden om buitgemaakte data af te leveren. Het is met het framework verder mogelijk om bestaande applicaties met malware te injecteren en deze opnieuw te verpakken tot een apk-bestand. Met de sdk kunnen standaard twintig acties worden uitgevoerd op een Android-apparaat, zoals het bellen of sms'en naar betaalnummers, het stelen van de contactenlijst en het opnemen van telefoongesprekken.

Hoewel applicaties die de malware bevatten toestemming van de gebruiker nodig hebben voordat ze geïnstalleerd kunnen worden, zou de lijst met benodigde rechten voor de gebruiker als beperkt overkomen. De kans dat zij daarom goedkeuring geven, zou groot zijn. Bovendien zou eenmaal geïnstalleerde malware onzichtbaar kunnen blijven voor antivirussoftware op Android-apparaten.

Tegenover de website SC Magazine laat een van de makers weten dat zij de sdk hebben ontwikkeld om kwetsbaarheden in het Android-besturingssysteem en de Google Play Store-webwinkel bloot te leggen. Ontwikkelaars zouden de sdk kunnen inzetten om hun applicaties te controleren op kwetsbaarheden.

Beveiligingsonderzoekers waarschuwen al langer voor de kwetsbaarheden van Android. Google heeft onlangs verscherpte regels aangekondigd voor zijn Play Store. Ook controleert de zoekgigant nieuwe applicaties met behulp van de Bouncer-bot op de aanwezigheid van malware.

Reacties (104)

[shadylog]

Dit gaat veel verder dan het aantonen van een probleem, dit is het voeden van scriptkiddies om een probleem te vergroten ipv op te lossen. Ik had liever gezien dat de energie ging in het aanvoeren van patches bij android (Android is immers opensource). Het feit dat alle energie ging in het bewust hacken van android vind ik walgelijk, waarom schreven ze niet een paper die het probleem aantoont en er daarbij ook een oplossing voor aanbied?

Ik schaam me als aankomend ICTer voor deze mensen die een ontwikkelkit aanbieden voor leken..

[Uitzonderling]

inderdaad, het zoeken, aantonen en openbaar maken van lekken is een nobele zaak, maar het vervolgens ontwikkelen en aanbieden van een tool die jan en alleman in staat stelt om dit te gaan misbruiken is gewoon laag en een 'onderzoeker' niet waardig.

Hopelijk sluipt dit soort rotzooi de google play store niet binnen.

[Verwijderd]

Hopelijk sluipt dit soort rotzooi de google play store niet binnen.

Daar kun je vergif op innemen. Het is inherent aan het "open"-model dat hier heel wat mensen mee aan de slag zullen gaan.

[Rmg]

De "problemen" zijn features die misbruikt worden. Het opvragen van een contact lijst, het uploaden van een foto, het vanuit een app kunnen smsen/bellen, het opnemen van dingen etc. etc. zijn gewoon dingen die een smartphone moet kunnen wil het ding enigzins smart genoemd worden.

Daarom zijn het ook, naar mijn mening, geen echte lekken maar legitieme features die misbruikt worden.

Iets waar elk smartphone OS last van heeft. (legitieme features die misbruikt worden)

Als smartphone (OS) maker kan je dan 2 kanten op.
Of je schermt de gebruikers af, of je legt meer verantwoordelijkheid bij de gebruiker.

Er is een keus voor jou als gebruiker en ik kan dat alleen maar toejuichen. Dat het er voor zorgt dat het product niet voor de grote massa 'geschikt' is (op dit moment) is dan wmb een gevalletje jammer maar helaas

[Douweegbertje]

Eigenlijk twee dingen:
Persoonlijk is dit niet DE beste manier om iets aan te tonen. Dat iets kwetsbaar is betekend nog niet dat je het probleem moet gaan vergroten. Dit is in feite op een bepaalde manier hacken, alleen doen ze het niet zelf. Het is naar mijn mening haast zo'n anonymous actie. Het verschil hierin zit hem alleen dat ze hier alles klaar zetten van top tot teen maar je laten iemand anders de "knop" in drukken.
Dan kom ik gelijk op mijn punt 2, in hoeverre is dit nou malware.. ja natuurlijk is het malware als je het 1 op 1 vergelijkt met de definitie, maar waar kun je nou geen programmatje plaatsen die remote toegang verschaft of andere dingen uitvoert? In feite moet je hiervoor dus zelf zorgen dat een persoon dit A: zelf gaat downloaden en B: overal rechten voor gaat geven.
ECHTE beveiligingsexperts zouden hun tijd niet verdoen om een opensource malware platform te maken maar gebruiken hun kennis om een app te maken de dit juist tegen gaat.
Volgens mij is dit niet eens zo heel lastig, wetende wat de "foutjes" in android zijn kun je dit in de gaten houden en blokkeren.
En dan de argumentatie dat ontwikkelaars deze SDK kunnen gebruiken om te testen, met een simpele whitepaper kan een ontwikkelaar dit ook. Daarmee verklein je de mogelijkheid dat jan en alleman gaat lopen "kloten" met malware programma's.

Nee ik zie dit meer als een (ik pak windows even) .bat bestandje die een gebruiker zelf moet downloaden en moet "uitvoeren" waarbij je OS naar de filistijnen word geholpen.. Totaal geen inhoud en je helpt het OS er ook niet mee om veiliger te worden.

[Verwijderd]

Daar zijn er vroeger nogthans veel in getrapt, in een batch bestand met een format c: /autotest in

[BlackHawkDesign]

Zucht waarom beginnen mensen gelijk te schreeuwen? In principe is er weinig mis met het beveiligingsmodel van android. Een gebruiker geeft toegang aan een applicatie om zichzelf uit te laten voeren op je telefoon en vervolgens doet die applicatie dat. Uiteindelijk moet je de applicatie wel of niet vertrouwen en die verantwoordelijkheid ligt toch nog echt bij de gebruiker. Dat vergeten mensen nog wel eens. Oke, ze kunnen een app meer rechten laten verkrijgen dan hij in eerste instantie doet voorkomen. Installeer gewoon niet zomaar elke app zonder dat je de maker echt vertrouwd..

Het wordt enger als je telefoon geinficteerd kan worden door het bezoeken van een website door javascript exploits e.d.

[Reactie gewijzigd door BlackHawkDesign op 23 juli 2024 18:27]

[Benne]

Hoe vertrouw je de maker? Kan je er vanuit gaan dat wanneer het in de playstore staat dat je deze kan vertrouwen. Of moet je voor elke app gaan kijken wie deze heeft geschreven en vervolgens uren gaan googelen om te achterhalen wie dit is en wat hij maakt /ooit heeft gemaakt?.

[LOTG]

Niet alleen dat, maar wat als je zorgt dat jou app die rechten inderdaad allemaal nodig heeft? Een audio/video recording app die ook telefoon gesprekken kan opnemen en uploaden naar dropbox ofzo? Ik kan mij best voorstellen dat iemand zo iets graag wil gebruiken.

Dan heb je dus al nodig:
Microfoon toegang
camera toegang
internet toegang
launch at boot

Misschien wil je nog data van wie er gebeld heeft/is bij die opgenomen calls.

Phone/contact list toegang.

Nou je hebt een legitieme app die al die rechten nodig heeft, daar kun je als mallware maker mooi op piggybacken. En de maker hoeft het niet te weten als je de APK infecteerd voor die naar de Play store word gestuurd.

Het infecteren van APK's is wat anders dan doelbewuste mallware uploaden naar de play store die een tweeregels code bevat om de gebruiker iets te laten zien (fart app nr 31234463) en de rest voor mallware. Ja dan kun je inderdaad op je tenen aanvoelen dat ergens iets niet klopt als die daar tig rechten voor wilt hebben.

[watercoolertje]

Reviews bekijken is meestal voldoende. Je leest snel genoeg of iets goed/slecht is, wat je eigenlijk toch wilt weten voor je iets installeert of het nou om malware gaat of iets anders.

Sowieso is er in de market een veel en veel lager percentage malware dan er buiten dus 99% kom je niet tegen als je binnen de market blijft.

Mijn wedervraag dan Hoe vertrouw je de gene die jouw apps dan controleert? En kan je daar dan ook een beroep op doen zich te verantwoorden? Of is dat allemaal jouw probleem als er toch iets door slipt?

[braatwurst]

De manier waarop Android is opgezet werkt dit in de hand. Ik verbaas me dat zo'n kit niet al bestond.

[Rmg]

Het wordt met veel bombarie aangekondigd maar eigenlijk stelt het niet veel voor. Het ontvangst mechanisme is praktisch een of the shelf versie van de huidige 'malware' kits.

Er zit geen verspreidings element in de kit anders dan het toevoegen van malware aan pirated (!) software.

Verder misbruikt het legitieme features van de telefoon waar het de rechten voor vraagt. Als je oplet en geen shit installeert die niet van de market komt is er niets aan de hand

[LOTG]

Er zit geen verspreidings element in de kit anders dan het toevoegen van malware aan pirated (!) software.

Tot dat iemand toegang tot de Play servers weet te krijgen en daar wat gaat zitten vervangen.

Of wat als iemand via een andere exploit de telefoon weet te verwijzen naar een andere server voor updates van geinstalleerde software waar allemaal geinfecteerde APKs staan.

Verder misbruikt het legitieme features van de telefoon waar het de rechten voor vraagt. Als je oplet en geen shit installeert die niet van de market komt is er niets aan de hand

Dit is natuurlijk waar als je iets download, maar wat als de geinfecteerde app daadwerkelijk die rechten nodig heeft? Zou jij het raar vinden als een app toegang vraagt tot het internet, bijvoorbeeld angry brids (leaderboards)? Als je de juiste host uitkiest dan ben je binnen zonder dat de doorgewinterde Android gebruiker het in de gaten heeft. Je moet natuurlijk niet camera toegang vragen in een texteditor.

Edit: We zijn natuurlijk ook even vergeten dat niet alles wat buiten de Play store om kan worden gedownload gepirate software is. Dat was toch het open karakter van Android?

[Reactie gewijzigd door LOTG op 23 juli 2024 18:27]

[watercoolertje]

Tot dat iemand toegang tot de Play servers weet te krijgen en daar wat gaat zitten vervangen.

Net als dat bij WP en iOS kan dus als de server gehackt wordt en apps aangepast worden...

Of wat als iemand via een andere exploit de telefoon weet te verwijzen naar een andere server voor updates van geinstalleerde software waar allemaal geinfecteerde APKs staan.

Wat als de aarde plat was? (als als als... als we daar is mee ophielden)

Zou jij het raar vinden als een app toegang vraagt tot het internet, bijvoorbeeld angry brids (leaderboards)?

Nee maar met alleen internet kan je toch niks kwalijks doen

[Reactie gewijzigd door watercoolertje op 23 juli 2024 18:27]

[LOTG]

Net zo als is gebeurt bij een aantal bedrijven.
Ja hier zijn WP en iOS net zo bevattelijk voor, maar ik weet nog van geen automated tools die daar mallware induwen.

Maar Angry Brids heeft meer dan alleen internet toegang, telefoon, locatie en opslag. En waar heeft Angry Birds dat allemaal voor nodig? Buiten internet en opslag nergens voor. Een unieke ID kun je de gebruiker vragen, net als de (globale) locatie. Iets waar je niets aan hebt als je dit voor een account (leaderboard per land) wilt gebruiken als je woont in grens streken of als je in het buitenland werkt.

Dan is het niet raar dat gebruikers voor alles en nog wat rechten gaan geven als dit soort applicaties als rechten vragen die nergens voor nodig zijn.

[Verwijderd]

Bestaat ook al voor iOS en de nog iets oudere Windows Mobile OS's.
Dus mja, voor Android zou er al zoiets zijn gemaakt, hun maken het nu gewoon publiek, wat met iOS grotendeels underground gebeurd.
Dus mja, je kan het nooit 100% weten he

iig met deze actie focussen ze de pijn-focus op Android, terwijl dit net zogoed voor iOS en Windows Mobile gedaan kan worden.
Je kan me niet wijs maken dat malware niet op iOS gemaakt zou kunnen worden, desnoods een SDK.
Deze dingen worden toch weer dicht gemetseld, net zoals dat gebeurd op iOS en Windows Mobile.

Als extraatje, het is je eigen risico als je de optie om 3rd party packages te installeren aan zet, staat er ook duidelijk bij.

[Reactie gewijzigd door Verwijderd op 23 juli 2024 18:27]

[HerrPino]

terwijl dit net zogoed voor iOS en Windows Mobile gedaan kan worden.

Ze moeten daar nog wel door een controle heen komen voordat ze in de AppStore of Marketplace geplaatst worden. Mooiste zou nog zijn als Apple en Microsoft een soort sandbox om de app heen gooien die niet meer toestaat dan vermeld is door de applicatie ontwikkelaar.

[Verwijderd]

Niet als mensen hun telefoons root aangooien.
Da's hetzelfde als met Android de 3rd party apps te laten installeren, he.
Alleen bij iOS moet je deze functie HACKEN omdat er geen aan/uit optie voor is, wat Android toch wat flexibeler maakt, helaas moet je daar wel wat beveiliging voor opofferen.

[SuperDre]

Juist en daarom horen we de laatste tijd ook steeds vaker dat er weer malware gespot is op Apple's store, ofwel de controle van Apple is ook gewoon ruk, en als developer moet je daar dan nog voor betalen ook..

[Verwijderd]

Jamaar Android draait toch op Linux en da's toch veilig?!

What's next, virussen op iOS?

Paniek!

[LOTG]

Zoals al jaren geroepen werd was die veiligheid gewoon proportioneel aan het aantal systemen.

Android heeft zich zelf een populair doelwit gemaakt door zowel de openheid als de markt positie, wat wil je als mallware maker nog meer? Je hebt een gigantische groep gebruikers die alles installeerd wat los en vast zit, en dan ook nog eens vrij weinig snapt van de risico's.

Ik vind het overigens wel vreemd dat de beste mensen als beveiligings onderzoekers worden betiteld terwijl ze een mallware kit uitbrengen wat natuurlijk voor dat de lekken gedicht zijn behoorlijk zal worden gefaciliteerd. Aan de andere kant geef je natuurlijk wel Google eens schop onder zijn kont om er ook werk van te maken. Helaas voor de mensen die hier slachtoffer van gaan worden.

[Verwijderd]

Zoals al jaren geroepen werd was die veiligheid gewoon proportioneel aan het aantal systemen.

Fout.
Android is in theorie ontzettend veilig. Het probleem is dat alle gebruikers alle rechten zomaar toekennen.

Wanneer ik jouw "app/malware" geen rechten toe ken, is er geen enkel risico. Voor een linux systeem geldt hetzelfde.

[Reactie gewijzigd door Verwijderd op 23 juli 2024 18:27]

[jvvj]

Dit zou kloppen als je als gebruiker per app die je installeert kan aangeven welke rechten je de app wel of niet wilt geven. Zolang het een ja/nee kwestie blijft voor alle gewenste rechten heb je er als eindgebruiker natuurlijk niets aan.

Simpel voorbeeld

Backgrounds HD Wallpaper
https://play.google.com/s...?id=com.stylem.wallpapers
Deze app zou ik installeren als ik alle permissies, behalve internet toegang & set wallpaper, zou kunnen uitzetten. Nu kan dat niet, dus ik installeer deze applicatie niet. Het gros van de gebruikers wilt gewoon een leuk achtergrondje, en zal de app wel installeren (en daarmee zeer waarschijnlijk zijn/haar complete adresboek uploaden naar een onbetrouwbare server)

[Reactie gewijzigd door jvvj op 23 juli 2024 18:27]

[Roland684]

Mee eens, je hebt nu alles te accepteren, er is geen mogelijkheid om als gebruiker iets aan veiligheid te doen. Je zou een app moeten kunnen installeren en dan kunnen aangeven welke rechten je die app wil geven.

En dan nog vind ik "full internet access" veel te ruim.
Het zelfde geldt voor toegang tot de SD-kaart. Dat is helemaal niets of, of lees- en schrijfrechten op de hele kaart. Zo'n grove benadering is helemaal nergens voor nodig, dat ligt niet aan het onderliggende Linux, dat is echt een tekortkoming in Android.

[The Zep Man]

Dit zou kloppen als je als gebruiker per app die je installeert kan aangeven welke rechten je de app wel of niet wilt geven. Zolang het een ja/nee kwestie blijft voor alle gewenste rechten heb je er als eindgebruiker natuurlijk niets aan.

Dan installeer je toch LBE Privacy Guard? En ja, ik ben het ermee eens: deze functionaliteit zou in Android zelf al moeten zitten, zodat geen root-toegang nodig is.

[SidewalkSuper]

Android is in theorie pas relatief! veilig vanaf versie 4.1. Dat ontzettend kun je echt helemaal weglaten voor alle voorgaande versies van Android. Android voor 4.x had ASLR en DEP namelijk niet goed of gewoon niet geïmplementeerd, dus had malware sowieso geen probleem om zich in het systeem te nestelen.

Nu ASLR en DEP goed geïmplementeerd zijn wordt het veeeel moeilijker voor malware om zich in je systeem te nestelen, maar het maakt wel pijnlijk duidelijk dat momenteel maximaal 0,8% (http://developer.android.com/about/dashboards/index.html) van alle Android devices die veiligheid genieten. Dat komt neer op zo'n dikke 3 miljoen devices, van de 390 miljoen, die écht secure zijn.

Daarna komt jouw opmerking over gebruikers die overal rechten aan toekennen pas om de hoek kijken.

[Reactie gewijzigd door SidewalkSuper op 23 juli 2024 18:27]

[LOTG]

Voor een Windows systeem geld ook het zelfde. Het probleem is dat er altijd processen draaien die hogere rechten nodig hebben, en als daar kwetsbaarheden in zitten dan hang je. Ik kan mij ook nog wel een aantal artikelen op tweakers herrineren waarin admin rechten in Linux te krijgen waren, vandaag nog. Er hoeft maar een probleempje in X11 te zitten en vrijwel alle installaties zijn vatbaar.

Daarbij geld nog altijd het systeem van de zwakste schakel, en dat is bij Android de gebruiker, dat is bij WP7 en iOS ook zo. Als je dat weet dan moet je daar de security op gaan aanpassen, en aangezien Android qua mallware nogal hoog scoort lijkt mij het afschuiven op de gebruiker een slap excuus.

Als Google nou eens wat beter de zooi screende in de store zou die een stuk leger zijn. Iemand die bovengenoemde wallpaper app start zou moeten weten dat deze app niet al deze rechten nodig heeft en moeten rejecten met de melding dat er geen reden is om het adresboek te kopieren en te vullen met betaalde nummers (waarom moet je anders schrijven?).

[vDorst]

Leuk dat google hier iets aan gaat doen. Maar je zit nogsteeds vast aan je telefoon fabriekant. Als die niks met de updates doet!

Het wordt eens tijd dat je je OS kan upgraden ala Ubuntu. Zodat de meeste fouten kunnen worden gepatch zonder tussen komst van de telefoon maker.
Bij kernel bug blijf je dan wel afhangelijk van de telefoon maker.

[bantoo]

Dan flash je toch zelf je rom? Je zit nergens vast aan tenzij je niet goed de limitaties van je product las(gesloten bootloaders etc)

[Onno !]

Niet iedereen is Tweaker!
De massa weet amper wat een update is. Hooguit zien ze wel eens iets langskomen van Windows Update. Veel mensen hebben nog nooit in hun leven zelf een programma geupdate.

[Alex_dragon]

Sad but true, zelfs voor tweakers. Het is best wel sneu hoeveel mensen updates wegklikken omdat het een paar seconden tijd in beslag neemt, mensen begrijpen de risicos vaak niet, en zijn liever lui dan moe.

[VNA9216]

waarna je afhankelijk bent van de maker van de ROM voor de veiligheid. Dus jij bent bang voor een "lek" in android, en flasht dan een ROM die je ergens online vind en net zo goed al vol mal/spyware kan zitten.

Dan hoeven de malware makers niet eens beveiligings issues te misbruiken en alleen nog maar besmette roms online te gooien. Dan hoef je verder helemaal niets te authoriseren en kunnen ze zelfs met root toegang bij je telefoon zonder dat je hem bewust geroot hebt en daarbij een besmette applicatie hebt moeten installeren.


Custom ROMS zijn leuk, maar vanuit beveiligingsoogpunt haast nog gevaarlijker dan een "lekke" android versie.

[Verwijderd]

Dat is ook met veel programma's zo. Er zijn zat populaire programma's die rechten hebben tot je contacten, bellen, sms'en, e.d. omdat dit functioneel voor hun programma ook moet. Bijvoorbeeld een sms programma. Niks aan het handje. Maar je blijft afhankelijk van de goodwill van deze mensen. Je hebt vaak te maken met individuen en niet met bedrijven. Er kan iemand tussen zitten die één of meer jaren afwacht totdat die enkele honderdduizend downloads heeft en plotseling de schakelaar overhaalt waarbij de applicatie naar duur betaalde nummers belt of sms't etc. en door het grote aantal gebruikers zijn rekening binnen enkele minuten ziet vollopen. En even later met de noorderzon is vertrokken.
Deze kans is heel groot bij gratis programma's zonder extra inkomsten. Bij gratis programma's die door bijvoorbeeld reclame veel opbrengen is die kans verwaarloosbaar aangezien die geld blijven opleveren. Bij de betaalde apps is die kans weer wel aanwezig omdat deze maar 1 keer geld opleveren en er wel voorlopig updates moeten uitkomen.
Dus ook al is een bepaald programma zeer populair en ondervind niemand daar problemen mee, je hebt geen enkele garantie dat dit ook zo blijft. Dus is het altijd uitkijken waar je ze rechten toe geeft.

[Tarabass]

En als je toestel van 400 tot 600 euro kapot gaat blijkt dat je geen garantie meer hebt.

Ik heb zelf een antivirus op mijn toestel van AVG. Hopelijk pakt hij ook deze malware op. Daarnaast ben ik me bewust van de gevaren, en heb ik ook een tool draaien die mij eerst om toestemming vraagt voordat de app verbinding mag maken of aanpassingen mag doen aan het systeem. Een custom rom gaat alleen werken wanneer de cooker ervan de nieuwe code implementeert.

Goed dat de beveiligingsexperts er aandacht voor vragen, al vind ik de manier waarop vrij rigoureus. Ze hebben in ieder geval hun eigen baan veiliggesteld..

[Spekkie88]

Maar natuurlijk! maar probeer jij maar eens een fatsoenlijke rom te bakken zonder de benodigde drivers van de fabrikant... Zeker vanaf android 4.0 is dit een groot issue geworden. Daar komt ook nog bij zoals hier ook al aangehaald wordt dat je de maker van de rom dan ook maar moet vertrouwen... Het enige wat er dan nog opzit is zelf builden vanaf de google source inclusief de drivers van de fabrikant, maar dat is al niet weggelegd voor iedere tweaker, laat staan een doorsnee gebruiker...

[blouweKip]

dit zijn meer gebruikersfouten:

Hoewel applicaties die de malware bevatten toestemming van de gebruiker nodig hebben voordat ze geïnstalleerd kunnen worden

[PV85]

Wilt u deze gratis en niet geverifieerde gekraakte TomTom app installeren? Kies "Ja" om door te gaan.

Iedereen die ik ken met een Android device installeert op deze manier gratis gekraakte apps

Je kunt vinden wat je wil van iOS en de AppStore, maar de kans dat dit soort zaken op dat platform voorkomen is een stuk kleiner.

Zodra het platform de gebruikers de mogelijkheden bied om op grote schaal aan dit soort waarschuwingen te wennen, zijn het in mijn ogen geen gebruikersfouten meer, maar ligt die verantwoordelijkheid toch echt bij de ontwikkelaar van het platform.

[Reactie gewijzigd door PV85 op 23 juli 2024 18:27]

[djiwie]

Waarom ligt dat bij de ontwikkelaar van het platform? Standaard is installeren van apps buiten de market om uitgeschakeld, als iemand dat inschakelt (om welke reden dan ook) is dat een risico dat zo'n iemand neemt. En verder gewoon common sense in acht houden als je apps installeert, net als op alle andere systemen...

[PV85]

Als het omzetten van deze switch voldoende voordelen bied voor de gebruikers en weinig moeite kost, dan is dat te danken aan de ontwikkelaar van het platform.
Die moet er immers voor zorgen dat die switch niet door mensen zonder verstand van de risico's kan worden omgezet en dat het omzetten van die switch niet aantrekkelijk is voor dit type gebruikers.

En jouw common sense is helaas niet zo common...

[blouweKip]

Ik denk dat vele jaren van pc/desktop gebruik hebben aangetoond dat ieder OS, hoe groot de drempel ook is door een eindgebruiker volledig in de soep kan worden geholpen.

[firefly112]

Volgens mij is WIndows zelf "veilger" dan Linux of OSX/IOS
Ik heb het ergens een keer gelezen.

daar bij stond als reden omdat er al jaren virusen en trojans worden gemaakt voor Windows heeft Windows al heel veel van dekken standaard lekken fouten uit hun os gehaald.

aangezien OSX en Linux hier bijna geen last van hebben. hoeven hun ook hier geen rekening mee te houden en is het OS er ook niet opgebouwd dat het kan gebeuren.

[com2,1ghz]

Is onzin wat je hier zegt. Dat windows bepaalde bugs heeft betekent niet dat andere OS-en dat ook hebben. Het zijn compleet verschillende systemen.
Een virus voor windows kan niet schadelijk zijn in een ander OS wat niet gebaseerd is op windows.

[ruurd v.]

De grote bugs in een OS komen natuurlijk alleen naar voren als er actief naar gezocht wordt. Het klopt natuurlijk wel dat als een OS veel aangevallen wordt, er ook meer bugs verholpen zullen worden om dit tegen te gaan.
Uiteraard zullen ze intern ook wel checken op beveiligings lekken, maar iemand die er op uit is om malware te ontwikkelen zal hier toch iets meer moeite in steken..

[Verwijderd]

Het gaat hier niet om een zichzelf verspreidend virus maar om een stuk software waarvan de gebruiker toestemming geeft het te gebruiken. Bijna elk platform waar je wat op mag installeren kan je op die manier om zeep helpen.
Het komt er op neer dat er van uit wordt gegaan dat de gemiddelde Android gebruiker niet oplet op wat hij op zijn telefoon zet. En dat is best mogelijk. Nakijken wat voor een rechten een programma opeist kost teveel tijd.
Ik denk dat telefoon gebruikers meer moeten worden bewust gemaakt van het feit dat ze niet zomaar alles op hun telefoon moeten installeren. Dat ze moeten opletten wat voor een rechten het programma vraagt en of je dat wel aan dat programma wil geven.

[Zoijar]

Geen enkel systeem is veilig als je een onbekende applicatie genoeg rechten geeft. Maarja, wie let er nou nog op wat voor rechten een programma wil tegenwoordig? Zelfs op linux zie je vaak genoeg een instructie om even iets te downloaden en 'sudo xxx' in te typen. Ik denk dat vrijwel alle thuisgebruikers van linux dat gewoon doen, zonder eerst de source na te pluizen (ik ook). Windows heeft dat ook geprobeerd, maar iedereen klikt toch op 'ok' als iets om adminrechten vraagt. Zo ook bij android. Ik ben in ieder geval blij dat je de keus hebt bij android en dat het niet zo'n compleet gelosten systeem is.

Het zou pas echt onveilig zijn als applicaties die rechten kunnen krijgen zonder toestemming te vragen. Met toestemming breekt alles natuurlijk.

[gnu]

Hetzelfde argument is door Microsoft gebruikt om aan te geven dat firefox onveiliger is dan IE. Voor firefox komen veeel meer patches uit, dus het is onveiliger.

Het is echter zo dat bij Linux, alles in de basis goed is gergeld. Op een standaard linux installatie is het vrijwel onmogelijk om root toegang te krijgen als dat niet de bedoeling is, naar mate er pakketten worden geïnstalleerd wordt deze kans steeds groter.

[firefly112]

Ik heb het bericht ook net gevonden. het was inderdaad een bericht over een uitspraak van steve balmer zelf.

[RobbieB]

Ik heb ooit ergens een keer gelezen dat er zo'n man was die de wereld in 7 dagen geschapen heeft.

"Veilig" is afhankelijk van meerdere factoren. Het aantal aanvallen, de vatbaarheid etc. etc.

Linux en OS X worden ook veilig opgebouwd, maar het is onmogelijk om een systeem 100% waterdicht te maken.

Het is echter wel zo dat er bij Windows, door het grotere marktaandeel, meer tijd en moeite gestoken wordt in het proberen te maken van virussen/trojans etc.
Maar een virusscanner herkent deze virussen vaak al voordat ze op het systeem komen, wat niet per definitie inhoudt dat die 'fouten' direct uit het systeem gehaald worden.

Daarnaast kunnen Windows virussen geen Linux en OS X machines infecteren.

Maar je ziet nu dat Apple met dingen als Gatekeeper in Mountain Lion ook veiligheid steeds hoger in het vaandel gaat zetten, zeker voor de 'gewone' consumenten, wat toch de risico groep is bij computergebruik.

[bantoo]

Ja tuurlijk, niemand gebruikt Linux, servers bestaan niet en niemand denkt na over beveiliging. Maar goed misschien heb jij ooit ergens iets gelezen.

[HerrPino]

niemand gebruikt Linux

Vrijwel niemand ... en servers kijken niet naar advertenties en kopen geen Viagra, zullen niet op 'Ja' clicken als ze 'Nee' bedoelen en zijn dus niet echt een goed doelwit. In Linux zullen waarschijnlijk bizar veel bugs zitten op user level. Ik zou wel eens willen zien wat er boven komt drijven als je een stel n00bs achter Linux zet voor een paar jaar. Zelf laten installeren en zelf laten bijhouden. Dus niet door een neefje of kleinzoon die alles dichtspijkert.

[koter84]

Er is nog een bijkomend probleem/voordeel van Linux.

Van Windows zijn er maar een paar versies die actief worden gebruikt, XP, Vista, 7.
Bij Mac geldt hetzelfde OS X 10.6 10.7 en 10.8
Linux daarintegen...
Ubuntu, Arch, Mint, Debian, RedHat, OpenSuse, Sabayon, Xubuntu, Kubuntu, BackTrack, Yellow Dog etc. etc. etc.
En dan heb ik het nog niet eens over de in gebruik zijnde Ubuntu-versies, 12.04, 11.10, 11.04, Mint 12 en 13, Debian stable, testing, unstable, oldstable....

Het is vaak lastiger om een pakket te vinden wat kwetsbaar is wat in al deze distributies gebruikt wordt. Nu is er pas een fout gevonden in de code van Nvidia, wat behoorlijke impact heeft omdat die inderdaad op veel verschillende distributies worden gebruikt en daardoor een aantrekkelijk doel is voor malware schrijvers.

overigens heb ik mijn vader overgezet op Linux Mint... het enige wat m'n pa miste was een applicatie om ebooks te lezen/kijken. Verder heb ik nog geen klachten gehoord, hij is blij met sneller opstarten, en het werkt in zijn beleving stabieler.
Ik verwacht dat ik (of eigenlijk hij) over 2 jaar nog steeds geen problemen heeft met zijn systeem. Terwijl ik zijn windows al 3x opnieuw heb moeten installeren.
Wat betreft het zelf bijhouden, ja, daar help ik nog wel zo nu en dan, even via ssh erin, en "apt-get update && apt-get upgrade" doen... Maar dat is nog altijd makkelijker dan via ssh-tunnels op de router remote desktop doen om windows-updates te installeren.
Daarnaast kan ssh terwijl hij erop werkt, zonder dat hij er iets van merkt!

[ThierryTale]

Natuurlijk is Linux (of Android daarmee) veilig. Ook iOS en WP7 zijn veilige OS'en. Het enige probleem waar ze allemaal last van hebben (en Google nu meer omdat ze nou eenmaal de grootste zijn) is: "Domme Gebruikers" die niet goed lezen en maar lukraak dingen installeren. Windows heeft die op de Desktop en Google heeft ze mobiel.

Als virus/malware maker ga je natuurlijk met een goedkoop automatisch hagelwapen schieten (scherpschutters zijn namelijk duur en traag) op datgene waar je het meeste zou kunnen raken, Windows op de Desktop en Google op je mobiel. Gewoon logica.

Nog een analogie: als je een heel dorp te vreten moet geven is het efficienter om met een net te vissen als met een enkele hengel.

Bottom line: Geen enkel OS is 100% veilig. Dat is ie alleen als je het installeert en vervolgens alle verbindingen met de buitenwereld (WiFi, Wired LAN, USB, FireWire, Thunderbolt, Serial, Parallel, you name it) er vanaf haalt en hem in een loden doos stopt. Het is niet de vraag OF het te kraken is, maar WANNEER het te kraken is.

Mij heeft gesproken, Ugh!

Edit: PS, ik ben een Windows Phone gebruiker. Voor mij het fijnste OS. Niet omdat de rest ruk is, maar gewoon omdat dit het beste aansluit bij MIJN behoeften als gebruiker.

[Reactie gewijzigd door ThierryTale op 23 juli 2024 18:27]

[ronaldmathies]

Maar als al die "domme" gebruikers dat doen dan betekend het toch gewoon dat het gekozen security model dus niet functioneel werkt. Het is dus bijvoorbeeld te complex, te omslachtig of te onduidelijk.

Hier vindt ik de gekozen oplossing van bijvoorbeeld iOS toch beter, de security zit in de API die aangeroepen wordt. Dus als ik het adressenboek wil gebruiken krijgt de gebruiker een melding hiervan, heeft als voordeel dat je de gebruikers alleen lastig valt met API's die ook daadwerkelijk gebruikt worden.

Want wat volgens mij naast domme "gebruikers" speelt is ook "domme" ontwikkelaars die niet weten welke rechten ze een app moeten geven. Er zijn vrij veel permissies die je kan aanzetten, zou me niks verbazen dat veel ontwikkelaars maar gewoon veel aanzetten omdat ze niet weten welke ze moeten hebben.

[GeforceAA]

MIJN behoeften

Welke behoeften? Gebruiksvriendelijkheid? snelheid? Ecosysteem?

[bantoo]

Ja want een kernel heeft heel veel te maken met een ton aan extra spul wat er boven op geniet zit waar de fouten in zitten.

[SuperDre]

What's next, virussen op iOS?

Die zijn er al hoor...

[Verwijderd]

Zoals al vaker opgemerkt hier is IOS beduidend veiliger omdat VOOR AF controle is en niet achteraf. Als het kalf al verdronken is grijpt Google in.....
Have fun met je Android

[Mavamaarten]

Laffe manier om aan te tonen dat android kwetsbaar is. Moet je daar nu echt een malwarekit voor gaan maken? Tot hiertoe was het niet echt een probleem, maar ik kan me voorstellen dat 12-jarige scriptkiddies dit wel heel leuk en stoer gaan vinden

[WhatsappHack]

Tja, op zich maakt het niet zo uit. Die apps komen toch de Play Store niet in. En als je zo snugger bent om zomaar een app zonder het te controleren te installeren uit onbekende bron dan is het je eigen schuld ook. Het probleem zit hem altijd in de mensen, bijna nooit in het systeem zelf.

[Bor]

Het is maar de vraag of dergelijke apps de Play store niet in komen. Er is al eerder malware via de Play store verspreid: nieuws: Trojan in Android Market steelt data telefoon en installeert achterdeur - update

Het punt is dat de security checks veelal geautomatiseerd zijn en niet 100% feilloos werken. De kans is wellicht klein maar niet uit te sluiten.

[WhatsappHack]

Oh zeker is er wel eens iets langs geslipt, dat gebeurt bij elke app market wel eens. Google was eerst ook iets minder streng en losjes, gelukkig hebben ze die fout ingezien en dat al een tijdje aangepast en sinds recent wordt er nog strenger gecontroleerd.

Het is alweer een behoorlijke tijd geleden sinds er écht een problematische app zat in de Store.

[laurens0619]

Een maand geleden:

Case in point: A new Android Trojan made it past Google's "Bouncer" malware detector in the Play Store and infected as many as 100,000 Play customers over a period of weeks before being identified by Symantec,

http://m.blogs.cio.com/mo...nt=safari#mobify-bookmark

[WhatsappHack]

Klopt, maar eerlijk is eerlijk: dit had moeilijk voorkomen kunnen worden dankzij de nieuwe methode die hier werd ingezet. De malware zelf bevond zich remote. De gebruiker gaf toestemming aan de app (Daar heb je het weer: gewoon op ACCEPT rammen en niet lezen.) om deze functionaliteit in te zetten, dus wat gebeurt er? Men installeert de maliciious app nog *ZONDER* malware, en vervolgens download de app op zn dooie gemakje de malware ergens anders vandaan en nestelt zich op het systeem. Beetje lastig om dat ten allen tijden te voorkomen, al heeft Google er van geleerd en er een paar trucjes voor ingesteld.

Puntje bij paaltje komt het er op neer dat de security nog steeds goed is en het voornamelijk op de gebruiker neerkomt die meehelpt aan het probleem. Plus malware komt voor op elk OS.

[Plopeye]

Zo lang iedereen de grootste leugen bij het installeren van apps blijft vol houden:

"Ik heb de gebruiksvoorwaarden gelezen en begrepen" *kuch* accept....

de voorwaarden:

* telefoon id uitlezen en alle contacten en de nummers van in/uitgaande gesprekken. En sms sturen/ontvangen/lezen.
* Toegang tot mijn locatie via GPS
* alles anders waar de betreffende app maker dan maar belang bij heeft.

zal er inderdaad niets veranderen...
met bovenstaande vraag ik mij eigenlijk af waar je nog malware voor nodig bent. De massa drukt toch zelf wel op accept...

[DCG909]

Op het moment dat ze het uitbrengen vervallen deze mensen in mijn optiek van onderzoeker naar hacker.

Ze leveren gewoon (voor zover ik dat uit dit artikel op kan maken) een totaal pakket om malware te schrijven af.

[SuperDre]

hehe, eindelijk iemand die het ook begrijpt, dit zijn geen onderzoekers meer..

[blouweKip]

Het stelt allemaal niet zo voor, als het niet hip was geweest om tegenwoordig malware en android in een zin te gebruiken dan had niemand hier van gehoord.
Uiteindelijk is het de eindgebruiker die de malware toegang moet geven en heeft dit dus niets met beveiliging te maken.

het enige probleem waar google mee kampt is dat 3th parties enkele keren gelukt is malware achtige software in de play store te krijgen (overigens ook gebeurd in de app store), ook daar moest je overigens zelf toestemming geven voordat een applicatie bij je data kon.

[SgtElPotato]

Ben benieuwd waar en wanneer ze de SDK uitbrengen.
Lijkt me zeker interessant voor developers om het via deze manier na te kijken/.

[Verwijderd]

Poeh poeh, een app die vraagt om permissies en dan iets doet. Noem ik geen malware? Das gewoon een app, die kan iedereen maken met de standaard SDK? Je moet alleen mensen zo gek krijgen om bv. een 'Weer' app te installeren die je smsjes wil lezen etc.

[HerrPino]

Je moet alleen mensen zo gek krijgen om bv. een 'Weer' app te installeren die je smsjes wil lezen etc.

Jij zal die permissie misschien niet geven omdat je er over nadenkt en beredeneerd of de app dat nodig zou moeten hebben. Maar jij bent waarschijnlijk niet de doorsnee persoon. De doorsnee persoon zal denken "oh ok, het zal wel...". Android is wat dat betreft, naar mijn mening, eigenlijk niet geschikt voor de doorsnee persoon. Eigenlijk net als dat Linux dat (nog) niet is. De doorsnee persoon zou je niet lastig moeten vallen met het instellen van permissies. Het zou goed zijn als de Android Market wat meer gesloten wordt (om de doorsnee gebruiker te beschermen moet dat helaas) en dat gecontroleerd wordt of de apps om de juiste permissies vragen voordat ze toegelaten worden. Google zou de app dan in een soort sandbox kunnen gooien die dan ook alleen maar die permissies doorlaat en de rest blokkeert.

Open source en absolute vrijheid is leuk voor als je weet wat je doet. Echter kan niet iedereen met die vrijheid omgaan.

[Reactie gewijzigd door HerrPino op 23 juli 2024 18:27]

[elley]

Als je een app download die foto's zou uploaden naar facebook, en die vraagt internet toegang en USB storage toegang lijkt me volledig logisch.

Maar die app zou net zo goed gans mijn USB kunnen uitlezen en doorsturen naar een of andere server.

Domme gebruikers zullen er altijd zijn, maar hoe de huidige permissies omschreven zijn, kunnen zelfs slimme gebruikers geen malware uitsluiten.

[Verwijderd]

Android is inderdaad een perfect platform om malware op te zetten!
Het zit sowieso met google tracking software die al je persoonlijke gegevens kopiert naar hun servers.

[Reactie gewijzigd door Verwijderd op 23 juli 2024 18:27]

[Verwijderd]

Het enige wat nu nog 99.99% veilig is qua mobiel OS is WP7. Nu zijn daar veel uiteenlopende redenen voor, maar dit feit blijft staan.

[Verwijderd]

BlackBerry..

[SED]

zoek eens even op blackberry en malware.. en voila..

[Waterbeesje]

Pocketline Swing telefoon?

Voor de niet-kenners, zoek maar eens op in de geschiedenisboeken.


Als Android 2.3 gebruiker let ik zeker even op wat de app vraagt als ik het installeer wil installeren. Waaromwilt Angry Birds Seasons toegang tot mijn telefoon-identiteit, telefoonbboek, bluetooth en GPS? Alleen voor reclamedoeleinden volgens mij. En ja, met het verkeerde programma kan dit grandioos worden misbruikt.

Zo gaat het met vele programma's. De meeste zal ik dus niet zomaar installeren.

[TMoose]

Waarbij de belangrijkst is dat niemend het heeft, en dus niemand er malware voor ontwikkelt...

[TiTbB]

En windows niet?

Weer een lekker kortzichtige reactie!

Edit,
als reactie op je snelle edit, je heb zelf de optie op je gegevens te backuppen op de servers.
Als je dat niet wil, zet je dat toch uit?

Wel typerend om android als perfect platform voor de malware neer te zetten terwijl het ook op andere platforms kan.

[Reactie gewijzigd door TiTbB op 23 juli 2024 18:27]

[NicoJuicy]

Bij google moet het al gekopiëerd worden, bij iOS staat je data er al standaard op (iCloud)

[arjankoole]

Bij google moet het al gekopiëerd worden, bij iOS staat je data er al standaard op (iCloud)

iCloud moet je net zoals Google echt expliciet aanzetten. Alleen moet je bij google een google account hebben (wat volautomatisch ook gmail is) voor google play, waar je bij Apple een willekeurig - non iCloud - appleID kunt aanmaken. ( wat gewoon een emailadres bij hotmail, of gmail, of je isp kan zijn). Maar goed, Apple heeft dan ook geen advertenties en profiling/tracking als businessmodel, waar google dat uiteraard wel heeft.

Maar het is echt niet zo dat beide bedrijven volautomatisch al van alles doen.

[SuperDre]

Het zit sowieso met google tracking software die al je persoonlijke gegevens kopiert naar hun servers.

Welcome to the world of mobile phones... Apple doet dat net zo goed met hun iOS...