Android-botnet laat toestellen ongemerkt duizenden sms'jes verzenden

Er is een Android-botnet ontdekt waarbij bij geïnfecteerde gebruikers stiekem duizenden sms'jes verzonden kunnen worden. Volgens het beveiligingsbedrijf dat de bewuste malware ontdekte zijn vooral Amerikaanse toestellen geïnfecteerd, maar is het botnet nog niet ver verspreid.

Het botnet werd ontdekt door het beveiligingssoftwarebedrijf Lookout, zo meldt The Next Web. Wanneer de Android-malware een toestel infecteert maakt het verbinding met een server om instructies op te halen. Op deze manier wordt een lijst met honderd telefoonnummers verkregen en een opdracht dat naar deze nummers ge-sms't moet worden.

In de spamberichten die via de malware worden verstuurd is een link opgenomen die, wanneer de gebruiker er op klikt, de bewuste malware installeert. Op deze manier kan het botnet zich verder uitbreiden, alhoewel er momenteel nog relatief weinig infecties zijn opgemerkt. Wel zou de malware al bij alle grote Amerikaanse telecomproviders zijn opgedoken. Welke Android-versies vatbaar zijn voor de malware is onduidelijk.

De schadelijke software draagt de naam SpamSoldier en kan op de achtergrond opereren. Daardoor ziet de gebruiker niet dat er sms'jes worden verstuurd. Het is nog onduidelijk wat de bron van de malware is, maar deze zou niet via applicatiewinkels zijn verspreid.

Reacties (177)

Ik vraag me echt af of dit weer een apk bestandje is geweest waar de gebruiker eerst heeft moeten accepteren dat het geinstalleerd wordt. Dat is echt een probleem tegenwoordig!

Verder gewoon scherp je telefoonrekening in de gaten houden dan maar! :-)

EDIT:
Uit de bron vernomen dat het inderdaad een applicatie bestand is wat de gebruiker eerst moet accepteren. Goed kijken dus!

Verder zijn dit 2 voorbeelden van zo'n spam SMS ( uit bron van artikel, TheNextWeb )! Linkjes maar even verwijderd, voor het geval iemand gaat copy pasten :-P

You’ve just won a $1000 Target gift card but only the 1st 1000 people that enter code 7777 at ************ can claim it!
Download Grand Theft Auto 3 & Need for Speed Most Wanted for Android phones for free at ************* for next 24hrs only!

Lijkt me een erg duidelijk spam bericht!

[Reactie gewijzigd door Anoniem: 353137 op 18 december 2012 21:08]

Op een touchscreen druk je nog wel eens per ongeluk ergens op.....

Op een touchscreen druk je nog wel eens per ongeluk ergens op.....

Je drukt perongeluk op 'Start', 'Configuratie', 'Beveiliging', 'Software uit onbekende bronnen installeren'

Daarna druk je perongeluk op een link in een SMS. Je download perongeluk de app. Je installeert het perongeluk en klikt perongeluk de autorisaties door.

Klinkt heel aannemelijk.

Zoals je het beschrijft is het inderdaad nogal dom van de gebruiker.

Maar stel ik maak een andere, goede app waarbij de gebruiker dat even in moet stellen, en vertel er niet bij dat die instelling achteraf weer teruggezet moet worden... de helft van de gebruikers vergeet het, dan hoef je alleen maar een link te volgen.

Of... en een ander appje "mooie meiden uit de polder" zet die instelling aan?

laten we eerst even kijken hoe mensen een dergelijke app überhaupt op hun telefoontje krijgen, voordat we oordelen dat het weer aan die domme gebruiker ligt.......

Maar stel ik maak een andere, goede app ...

Dat is heel theoretisch mogelijk. Maar hoe vaak denk je dat dat in de praktijk voorkomt? De praktijk wijst uit dat het meestal wordt uitgezet omdat er gedownloade warez geïnstalleerd moeten worden. Jouw optie klinkt prachtig, maar het is naar mijn idee niet reëel

Of... en een ander appje "mooie meiden uit de polder" zet die instelling aan?

Er zijn volgens mij geen API's om dat te doen. Dus die lijkt me ook niet heel reëel.

Ik ga liever uit van de wel heel reële optie dat het hier om een menselijke fout gaat, in plaats van Android de schuld te geven omdat dat op het moment zo'n lekker populaire bezigheid is. Ook de andere nieuwsberichten die ik rond SpamSoldier lees wijzen op de menselijke factor.

Apies, nee vrouwen ....

De gemiddelde app gebruikt geen API, maar zeker dat soort apps niet, die willen zsm toestemmingen, en social engineering werkt nu eenmaal het beste

Die optie is sowieso niet bereikbaar buiten de api's om op een niet gerootte telefoon. De OP maakte de opmerking dat een appje die instelling aan zou zetten. Dat is dus niet mogelijk.

Social enginering werkt overal helaas. hebzucht blijft universeel.

Niet om 't een of het ander, maar ik ken een aantal toestellen waar dat 'Software uit onbekende bronnen installeren' standaard aan staat omdat anders de Samsung software niet wil werken. Galaxy Mini bijvoorbeeld staat het af fabriek standaard aan.

Verder zijn dit 2 voorbeelden van zo'n spam SMS ( uit bron van artikel, TheNextWeb )! Linkjes maar even verwijderd, voor het geval iemand gaat copy pasten :-P
[...]
Dat je daar in trapt snap ik ook al niet echt. Duidelijk spam bericht.

Die eerste is idd overduidelijk spam, de tweede kan ik me nog wel iets bij voorstellen dat mensen daar op klikken. Want zeg nu zelf... wie wil er geen gratis game? Vraag me wel af wat het nut van deze smsjes is.

Let ook op wie er mee komt. Het gaat om het bedrijf Lookout. Die zijn er natuurlijk wel bij gebaat om mensen zoveel mogelijk angst aan te praten.

Het is dat het net zo strafbaar is, maar ik zou eigenlijk wel eens willen proberen wat er gebeurt als je de volgende tekst gebruikt:

Hoi hoi, ik ben een virus, klik even op OK om me toestemming te geven al je vrienden te spammen en je beltegoed op te maken. Dankjewel!

Van de andere kant... nee, eigenlijk wil ik niet eens weten hoeveel mensen zelfs dan nog steeds op "OK" klikken...

Ik weet niet maar ik vindt de hoeveelheid beveiligings gaten toch wel een beetje de spuigaten uitlopen. Laatste tijd is het het ene bericht naar het andere.

Is Android nu zo slecht gebouwd? Of moet dit het voordeel zijn van open source? Want extreme security problemen als dit heb ik nog niet bij andere os'en gezien.

Er is nog zeer weinig bekend over de aard van deze malware. Voor hetzelfde geld is het een lek in Touchwiz (Samsung) of Sense (HTC). Ook zou het bijvoorbeeld alleen kunnen werken op Android 2.x (ik noem maar wat).

Totdat dat soort dingen duidelijk zijn kan (mag) je eigenlijk geen oordeel vellen over Android n.a.v. deze "SpamSoldier".

Een groter probleem is (hoe dan ook) de trage update-cyclussen van Android in de praktijk. De Nexus-toestellen lopen lekker mee, maar daarbuiten gaat het eigenlijk jammerlijk traag. Dat is niet direct de schuld van Android zelf, maar in de praktijk is het wel over de hele Android-linie een probleem. Een gemiddelde update-tijd van 3 tot 6 maanden is helemaal niet abnormaal en daar zit dus het grote probleem. Dat soort lange periode's zijn funest i.c.m. beveiligingsfouten.

Ik hoop dan ook maar dat de providers hier op in kunnen, willen en mogen spelen. Het lijkt me redelijk eenvoudig om smsjes met een bepaalde link automatisch te blokkeren.

Ik weet niet maar ik vindt de hoeveelheid beveiligings gaten toch wel een beetje de spuigaten uitlopen.

Bij Android kan je spreken van miljoenen beveiligingsgaten, want elke gebruiker die weigert om zich bewust te zijn van zijn veiligheid is een beveiligingsgat. Dat is op dit moment ook 99% van alle besmettingen.

Is Android nu zo slecht gebouwd?

Kennelijk niet. Aangezien 99% van alle malware gewoon met toestemming van de gebruiker draait moeten we vaststellen dat mensen zo slecht gebouwd zijn.

Of moet dit het voordeel zijn van open source?

Oh sorrie, dit was gewoon een troll...? Jammer. Verbluffend dat je nog een +1 weet te scoren met dit soort onzin.

In Amerika was het aantal besmettingen traditioneel heel laag (<0,2% volgens hetzelfde Lookout) omdat relatief veel gebruikers zich hielden bij Google Play als bron van hun apps. Het zal me erg benieuwen hoe deze 'besmetting' tot stand is gekomen. Zijn dit warez gebruikers, of zien we de eerste uitbraak van een daadwerkelijk virus? Één goed lek in Webkit, gecombineert met een exploit, is tenslotte genoeg.

In het laatste geval is het dan ook nog de vraag of alle telefoons kwetsbaar zijn. Ik heb de indruk dat er vaker problemen worden gevonden in de fabrikant specifieke schilletjes als Touchwiz en Sense.

Ik vind overigens dat Google nu eindelijk eens haar betaalsysteem moet moderniseren. Dat neemt toch weer een argument weg om warez (en dus potentieel malware) te installeren.

*Edit: Het blijkt een App te zijn die zich via SMS probeert te verspreiden. Je moet dus 'Software installeren uit onbekende bronnen'aan hebben staan. Je moet op een spam SMS klikken. De spam app downloaden. Daarna moet je de app autoriseren, ondanks dat het om SMS rechten vraagt. En pas dan ben je besmet.

Als we hier al van een lek kunnen spreken, dan is het lek meer de hebzucht van de gebruiker.

[Reactie gewijzigd door Anoniem: 125509 op 19 december 2012 08:04]

'Software installeren uit onbekende bronnen' aan hebben staan? Ik mag hopen dat dit standaard uit staat en ook niet door een apptje aangezet kan worden? Of denk je dat je tante ook weet hoe je dat uit moet zetten? Ik vind de naieve arrogantie die uit je mailtje spreekt te gek voor woorden, dat dat een +2 krijgt zegt iets over het speciale publiek hier....

Zelf had ik had op mijn iPhone een of ander abbonnement van "My Doo", die beweren dat je daarvoor duidelijk toestemming moet hebben verleent door een paar maal expliciet te klikken. Iets van €20/maand voor achtergrondjes, ringtones en soortgelijke flauwekul ik heb een standaard achtergrond en een foto die ik zelf gemaakt heb/ringtone, die zijn me goed genoeg. Ik ben zeker dat ik me nooit aangemeld heb voor dat ding, en vermoed dat een van apps een malaifide app is, maar welke?

Ik vind de naieve arrogantie die uit je mailtje spreekt te gek voor woorden

Bedankt daarvoor.

Kennelijk zijn er genoeg 'wiz-kids' die zichzelf slim genoeg achten om het uit te zetten, anders was dit volstrekt non-nieuws geweest. Deze 'malware' kan alleen geïnstalleerd worden als je zelf die beveiliging uit zet. En ik weet vrij zeker dat het standaard dicht zit, en zeker niet door een appje aangepast kan worden.

Je kan dat naïef of arrogant vinden, maar dat is gewoon een feit.

Je 'My Doo' voorbeeld klinkt meer als een sneaky SMS abonnement. Dat valt volgens buiten je telefoon en loopt eerder via je provider. Dat geld wordt van je beltegoed afgeschreven niet van je telefoon.

Vergelijk het met een "belgisch virus" waarbij de gebruiker gevraagd wordt om system32 te verwijderen, is dat een beveiligingsgat van het systeem waar de gebruiker op werkt? lijkt me niet

Lijkt me eigenlijk van wel als een standaard Windows dit zonder slag of stoot toelaat.
Maar verschil is wel dat hier de gebruiker hier tenminste zelf nog een duidelijke actie moet ondernemen, op een linkje klikken valt daar wat mij betrft niet direct onder, het is te zot voor woroden dat daar een app zonder nadrukkelijke toestemming geinstalleerd kan worden.

Voor Android zijn er veel 'alternatieve' markets/stores. Combineer dat met veel gebruikers die geen creditcard hebben om in de Play Store te betalen, en tóch die ene game of wat ook willen spelen.
Denk dat dat de sleutel er toe is, naast 'achteloze' gebruikers die installeren zonder te kijken naar welke rechten een app vraagt enz enz.

Ik denk niet dat het zozeer aan Android ligt. Ik heb zelf een app die automatisch smsjes kan sturen. Hier is het de bedoeling omdat je gepland deze smsjes op een specifieke tijd kan laten versturen, wat normaal niet kan. Android heeft hier gewoon een simpele API voor die iedereen kan gebruiken. Tja, is dit een lek? Het is juist voor dat type applicaties bedoeld. Als je een of ander spel installeert op je telefoon moet je eigenlijk goed kijken naar wat voor rechten het heeft. Android zal zelf wel aangeven dat het smsjes kan versturen. Ik denk ook neit dat het moeilijk zal zijn om gewoon een appje te maken dat verbinding maakt met een server en als het een commando krijgt een sms stuurt. Je kan echter niet gaan spammen, ik heb al eens gehad dat mijn telefoon waarschuwingen gaf omdat ik zelf doelbewust lastig was. Verder kan het wat doorzichtig zijn als je kijkt naar de laatste smsjes die je hebt gestuurd.

Ik denk dat het niet aan de software ligt, maar aan het aantal gebruikers. Alles is te kraken, en zal worden gekraakt als daarmee een grote groep mensen kan worden aangesproken. De maker van het virus verspreidt het, en verkoopt het vervolgens. De volgende eigenaar zal wel via via sms'jes sturen naar een zelfgecreeërd goed doel o.i.d.

Hoezo aantal gebruikers? Toe. IOS de grootste was had je dit niet. Sterker nog, iOS is de twee na grootste met zeker een niet misselijk te verstaan marktaandeel en die heeft het niet zo extreem.

ios was misschien de grootste maar was in de verste verte nog niet zo groot als iso of android nu is omdat het aantal smartphone gebruikers i het algemeen maar5 een paar % was van wat het nu is.

Fout. iOS was in 2011 wel degelijk het nummer 1 mobiele OS. Bron:

http://www.comscore.com/I...r_Connected_Media_Devices

Android fans hebben wat dat betreft een selectief geheugen en telden destijds iPads en iPod Touches niet mee. Nu dat er talloze Android tablets zijn worden die opeens wel meegeteld bij alle Android devices.

Anyhow. Toen iOS marktleider was was er bij lange na geen tsunami aan vulnerabilities en exploits zoals we die het afgelopen jaar bij Android hebben gezien.

Dat is het resultaat van een gesloten OS, het is een stuk veiliger ja. Maar het houd mij als gebruiker weg omdat ik liever vrijheid heb op mijn systeem.

Schijn veiligheid. je kan een geloten systeem hebben maar dat wil nog niet zeggen dat er minder veiligheidslekken in zitten.

Het wordt alleen een stuk moeilijker om ze te vinden/misbruiken

Als de lekken die erin zitten niet gebruikt kunnen worden is het geen schijnheiligheid maar nog steeds gewoon veilig.

Dat is het resultaat van een gesloten OS, het is een stuk veiliger ja.

Als je met gesloten het eco-systeem bedoelt, dan heb je gelijk.

Open of closed-source heeft in de praktijk geen verband met veiligheid.

In een gesloten eco-systeem kan je alleen binnenkomen middels exploits van het veiligheidssysteem. De beste aanvalsvector, de gebruiker, wordt buitengesloten.

Fout. iOS was in 2011 wel degelijk het nummer 1 mobiele OS. Bron:

http://www.comscore.com/I...r_Connected_Media_Devices

Het onderzoek waar je naar verwijst omvat maar 5 Europese landen.

En over welke "tsunami aan vulnerabilities en exploits" heb je het? Ze bestaan maar ze zijn nauwelijks een factor. Het geval waarnaar verwezen wordt in bovenstaand artikel is ook maar op heel kleine schaal gesignaleerd.

Waarom wordt mij artikel omlaag gemod en dit soort onzin krijgt een plus? Serieus een vergelijking van een paar landen alleen in Europa?

iOS is NOOIT de grootste geweest. Echt nog niet bij benadering. Het heeft tot eind 2010 geduurd voordat ze groter waren dan RIM en tegen die tijd was Android al een stuk groter. Symbian was toen ook nog groter.

http://en.wikipedia.org/wiki/Mobile_operating_system

Of specifiek deze grafiek:
http://upload.wikimedia.org/wikipedia/commons/a/ac/World_Wide_Smartphone_Sales_Share.png

Anyhow. Toen iOS marktleider was was er bij lange na geen tsunami aan vulnerabilities en exploits zoals we die het afgelopen jaar bij Android hebben gezien.

Zegt een Apple gebruiker (kan beter zeggen fanboy).

Dat krijgt ook nog eens +3, zelfs met alleen het eerste stuk is het absoluut geen +3 waard, het is nog off-topic ook.

Maar goed een tsunami? Nou laat mij eens deze "tsunami" eens zien dan. Jullie beweren zo hard dat alleen de Android gebruikers flamen, overdrijven etc. en jullie zo onschuldig zijn. Ach ja zulke figuren zie je ook liever bij Apple, anders komt het niet goed met Android

[Reactie gewijzigd door V-rg op 19 december 2012 03:40]

De security in Android is, ironisch genoeg, op veel vlakken beter geregeld dan die in bijv. iOS.
Echter heeft Android meer gebruikers en een opener ecosysteem dan de competitie, dus gaat het de weg van Windows.

Licht eens toe met bronnen. Ik geloof er namelijk geen snars van.

De realiteit wijst nl. uit dat het tegendeel waar is. iOS heeft een kleiner marktaandeel maar doet in gebruik niet onder voor Android. Dan zouden er toch op z'n minst net zoveel exploits moeten plaatsvinden op iOS? Nu is de verhouding superscheef in het nadeel van Android.

Dus nogmaals als Android zoveel veiliger is dan iOS waarom zie je dat dan niet terug op een meetbare manier?

de meeste malware komt niet binnen via exploits maar via een feature, en wel een van de features die Android aantrekkelijker maakt dan iOS voor veel mensen.
het grootste "lek" hier is de optie "unknown sources"/"onbekende bronnen", die niet bestaat op iOS.
eigenlijk ligt het dus een beetje aan of je een gebruiker een beveiligingslek wilt noemen.

Geleuter van de hoogste toren origin64.

Als je wist hoe ver ik de linux kernel en met name services strippen op de firewalls die linux draaien, om niet gehacked hier te worden dan ga je overgeven.

Als er maar iets te halen valt wat geld waard is, dan hacken ze overal dwars doorheen.

Het voordeel van linux op de niet-mobieltjes is het feit dat je de source hebt - maar dan ben je er nog lang niet. Je moet enorm expert dan zijn om het veilig te krijgen.

Op die mobieltjes valt voor het dievengilde geld te maken met hacken - dus zie ineens hoeveel hacks er ook zijn voor linux.

Ik heb me nu altijd al afgevraagd hoe het mogelijk is dat telefoons onzichtbare smsjes versturen. Zijn daar functies voor of verwijdert een programma als dit de sms zodra hij wordt verzonden?

met een sms centrale kan je veel meer dan dat wij als normale gebruikers kunnen op de telefoons.zelf ergens gewerkt met een eigen centrale en een aantal van de opties waren bijvoorbeeld:

sms een specifieke geheugenplaats toewijzen
de sms na binnenkomst op het scherm laten knipperen
de sms na lezen laten verwijderen
niet laten zien dat er een sms binnenkomt(icm met optie 1 bv)

en zo waren er nog een aantal andere opties

dus ja,je kan met sms veel meer dan wij denken dat je er mee kan

Maar idealiter zou de provider je hiertegen beschermen door simpelweg geen flash-sms'jes te routeren die niet vanuit hemzelf zijn verzonden.

Dacht dat dit 'ingesteld' kon worden, door de header van de sms daarvoor juist te configureren. Providers sturen ook diverse netwerk instellingen op die manier door naar hun klanten (zie dit Vodafone-nieuwsbericht: nieuws: Gebruikers zien per ongeluk 'geheime sms'jes' Vodafone en politie/justitie gebruiken e.e.a. voor opsporing (http://webwereld.nl/nieuw...vaak-stealth-sms-jes.html)

[Reactie gewijzigd door Laca op 18 december 2012 21:04]

Nu maar hopen dat de malware niet een soort 'tweetraps raket' is. Eerst het (bot)net uitbreiden, vervolgens laten sms'en naar een duur paid nummer...

Daar kun je gif op innemen; een botnet dat zichzelf verspreidt om 't verspreiden heeft weinig nut anders dan een "kijk mij eens"-patsgehalte. Pas als je er een beetje (behoorlijk) leuk centje mee kunt verdienen wordt 't pas écht interessant.

Een botnet kan vele doelen dienen. Zo kunnen ook motivaties als spionage, of het uitvoeren van DDOS-achtige aanvallen op telefoontorens een rol spelen. Verder kan het ook proberen bankgegevens te onderscheppen (veel mobiele bankapplicaties zijn minder beveiligd dan normaal internetbankieren, maar vaak vereisen ze dat je via de normale weg de opdracht nog goedkeurt). Het aanleggen van een database van telefoonnummers of mailadressen kan ook een doel op zich zijn.

Zelf ben ik niet heel bang voor dit soort malware, want het maakt zijn aanwezigheid duidelijk op je telefoonrekening. Dit betekent dat je er niet al te lang mee rondloopt. Ik vrees meer voor de malware die je niet direct doorhebt.

Verder denk ik dat malware voor mobiele apparaten nog ver van zijn uiteindelijke proporties heeft bereikt. Een mobiele telefoon is namelijk een veel interessanter doel voor malware om vele redenen. En bij gebrek aan goede monitormogelijkheden (een goede task viewer is ver te zoeken) is detectie ook niet altijd makkelijk. Dit zal dus zeker niet het laatste bericht hierover zijn.

Zelf ben ik niet heel bang voor dit soort malware, want het maakt zijn aanwezigheid duidelijk op je telefoonrekening. Dit betekent dat je er niet al te lang mee rondloopt. Ik vrees meer voor de malware die je niet direct doorhebt.

Jij bent niet bang om een maand lang smsjes te sturen naar een duur telefoonnummer omdat het toch op je rekening komt te staan?
Je mag hopen dat het bij honderden euro's blijft, ik zie het zo op lopen maar een paar duizend. En dan mag je ook hopen dat je kan bewijzen dat het om malware gaat en je geld terug krijgt.

Ik zou er toch niet heel blij van worden.

[Reactie gewijzigd door Typecast-L op 19 december 2012 09:14]

Ik heb bij SMS-diensten gewerkt en daar heb je vaak genoeg dat de provider bepaalde dingen intrekt omdat de klant beweerd dat hij niet akkoord is gegaan met wat er is gebeurd, ook al werkte volledig conform de SMS gedragscodes waarbij we eerst toestemming moeten vragen aan de ontvanger of die wel akkoord gaat met de kosten...

Zo moeilijk gaat dat dus niet bij de providers.

En terecht. De meeste betaalde sms diensten zijn een stelletje boeven die je op slinkse wijze proberen te laten betalen voor onzin. Als ik een provider was zou ik mijn klant ook eerder geloven dan de zoveelste aanbieder van ringtones en vergelijkbare troep.
Dat "toestemming vragen" gebeurt meestal niet zo expliciet. "Door het downloaden van deze gratis <troep> ga je akkoord met onze voorwaarden en betaal je vanaf nu iedere maand €25 euro voor ons abonnement", ergens klein onderaan een pagina met een grote download knop...

[Reactie gewijzigd door kozue op 19 december 2012 12:17]

Ik heb bij SMS-diensten gewerkt en daar heb je vaak genoeg dat de provider bepaalde dingen intrekt omdat de klant beweerd dat hij niet akkoord is gegaan met wat er is gebeurd, ook al werkte volledig conform de SMS gedragscodes waarbij we eerst toestemming moeten vragen aan de ontvanger of die wel akkoord gaat met de kosten...

Zo moeilijk gaat dat dus niet bij de providers.

Nee ?

2 (TWEE) jaar met Vodafone bezig geweest om een nummer te blokkeren.
een sms van een firma die ( in de VS gratis ) tips verzend.
in Nederland heeft Nokia dezelfde dienst opgestart, en elke keer als ik mijn telefoon opstartte kreeg ik een 'tip'

Mooi, weet ik al, en klaar .....
Tot ik een keer ( toevallig) zag dat ik een abbo had op een 'dienst' 5 a 6x per maand á 25ct per bericht.

Eerste actie, het nummer terugzoeken, en vinden dat het een dienst via Nokia is/was
blokkeercode ... onbekend, "probeer stop" was de reactie op internet, en VF service
krijg je een bericht terug "deze dienst niet aangesloten, blabla ..."

Maar nog steeds betalen ...

uiteindelijk via VF alle betaaldiensten laten blokkeren...

Zo moeilijk zal het niet zijn ???

Je vergeet dat in het buitenland sms vaal onbeperkt is, zoals in Amerika. Hier zal de gebruiker deze vorm van malware dus niet snel ontdekken.

Verder kan Android door zijn design minder goed monitoren en heeft IOS met zijn gecontroleerde market hier een duidelijk voordeel. (Lees apple heeft een whitelist voor apps waar Android alleen blacklist kan maken)

Maar dit spul wordt niet door de Market verspreid. Dat kan dus bij iOS ook als het apparaat gejailbreakt is. En dan heeft Apple er geen zicht op. Bovendien is al vaker aangetoond dat die zogenaamde screening een wassen neus is en dat er toch nog spul doorheen is gekomen.

Ik snap sowieso niet waarom iedere keer als er iets over Android geschreven wordt er iOS bij gesleurd moet worden. Waar gaat dat toch steeds over? Is het een drang om de superioriteit van iOS te 'bewijzen'?

Ja. Android is (op papier) onveiliger, maar het merendeel van de bedreigingen zijn wat ik noem Belgische virussen, waar men gewoon inzet op een domme gebruiker die overal op klikt of zomaar (illegale) shit installeert.
Maar welk doel die vergelijking steeds ook dient, als iemand Android leuk/handig vindt, gaat ie echt niet op basis van dit soort gelul een iPhone/iPad kopen. Ik hoeft die meuk bv niet (meer). Ben blij dat ik van die iPad af ben eigenlijk.

"Android is (op papier) onveiliger".

Op papier, lol, maar dan wel een hele dikke stapel.
Ik kan me één malware issue op iOS herinneren waarbij een Rus een discutabele app door de controle van Apple kreeg, en wat binnen no-time weer verwijderd werd. Als je dit werkelijk wilt vergelijken met de - waarschijnlijk - duizenden mallware apps die op Android rondzwerven dan zou ik zeggen, dream on.

Die dikke stapel valt wel mee: het permissie systeem in android is niet top, dat geef ik toe. Maar je kan in veel gevallen al snel zien dat als een app bepaalde rechten nodig heeft dit echt nodig is, of het dingen doet die het eigenlijk niet moet doen.

De onveiligheid ligt compleet bij de gebruiker: jij kiest wat je installeert en wat niet. Als je illegaal download, apps van externe partijen etc. installeert loop je al een hoger risico. De onveiligheid zit hem in het open systeem. Geen dik papier voor nodig.

Precies het ligt bij de gebruiker. Helaas is er ook al genoeg "malware" in de officiele Play store te vinden dus illegaal downloaden is vaak niet de oorzaak.

Ik moet ook wel zeggen dat het permissie model erg weggestopt is. De eerste paar keer dat ik een app installeerde keek ik zo over dat permissie schermpje heen. Als ik het aan non-tweakers vraag kennen velen dat schermpje niet eens (oow dat ok next next schermpje )

Android is nu populair onder verschillende segmenten in de markt. Voor Tweakers is het open eindeloos mogelijkheden systeem perfect. Voor de grootste groep Android gebruikers zou een wat verder gesloten beveiligheidsmodel (richting iOS en WP) beter zijn. Apple valt af want die hardware is weer erg duur voor deze groep.

Ik vraag me sterk af in hoeverre deze groep zich gaat storen als zaken veranderd worden in Android als:
- Uitschakelen van multitasken (lost het vollopen van geheugen op)
- Verwijderen van groot aantal permissies (zoals SMS, background access)

Wellicht een fork van Android waardoor er nog wel toestellen voor deze markt ontwikkeld voor een normale prijs maar tegelijk deze groep beter kan bedienen

[Reactie gewijzigd door laurens0619 op 19 december 2012 09:04]

Sorry, maar dat vind ik nogal naief. De eerste keer dat je op een nieuw scherm komt scan je het toch op z'n minst even? Het is niet dat er een complete licence agreement staat. Als je het op een gegeven moment door hebt snap ik dat je door klikt, hoewel ik het dan nog niet verstandig vind.

Bij nieuwe apps controleer ik zelf altijd even wat voor rechten hij nodig heeft. Als bepaalde rechten me niet bevallen zoek ik naar een alternatief. Ook helpt het om de beschrijving van een app te lezen: sommige developers zeggen waarom een app iets nodig heeft. Maar daar zit dan wel ook de flaw in het systeem. Als je een bepaalde permissie geeft, weet je niet waarvoor deze allemaal gebruikt wordt. Zo kan het lezen van smsjes gebruikt worden voor een automatische activatie, maar wat nog meer?

Ik zeg ook niet dat _ik_ het niet lees (toen ik net kennis maakt van Android viel het mij simpelweg gewoon niet op).

Ik probeer het vanuit de non-tweakers groep te bekijken. Je kan niet verwachten dat deze groep dezelfde activiteiten uitvoert als jij voor het installeren van een app:

- begrijpen(!) en vergelijken van rechten
- afweging maken welke rechten wel of niet nodig zijn
- omschrijving lezen en link met rechten te leggen
- alternatieven zoeken die hetzelfde doel hebben maar dezelfde permissies vragen

Uiteraard ben ik het met je eens dat je deze zaken wel van tweakers mag verwachten

Je kan niet verwachten dat deze groep dezelfde activiteiten uitvoert als jij voor het installeren van een app:

Als je besluit om apps te downloaden en buiten de Play Store om te installeren, dan vind ik juist dat je dat best mag verwachten.

Dat 'deze groep' bestaat is een gegeven, maar die hebben naar mijn mening de ellende voor een belangrijk deel aan zichzelf te danken.

Net zo goed als ik weinig respect heb voor mensen met een Windows computer vol warez zonder een goede virusscanner en firewall.

*Edit: Ik zie nu dat je dezelfde bent, als waar ik elders verderop op gereageerd heb. In de context van 'posibly unwanted apps' heb je verder gelijk. Google zou haar controles veel strakker moeten maken om die troep buiten te houden. Sorrie, ik was even de context kwijt.

[Reactie gewijzigd door Anoniem: 125509 op 19 december 2012 13:28]

[...]
Als je besluit om apps te downloaden en buiten de Play Store om te installeren, dan vind ik juist dat je dat best mag verwachten.

Dat 'deze groep' bestaat is een gegeven, maar die hebben naar mijn mening de ellende voor een belangrijk deel aan zichzelf te danken.

Maar laat DIE groep nu juist de grootste zijn, de onderontwikkelde gebruiker

het 'ik heb een telefoon, en gebruik apps' volk is meer bezig met installeren, en als de pop-up komt "vink in instellingen dit uit", dan doen ze dat gewoon

Dan kan je dat veroordelen, maar de klachten uit die groep zijn dan wel inovervloed

Ik kruip met drank op in een auto, doe mijn gordel niet om, rijdt mezelf het ziekenhuis in en klaag vervolgens dat de auto niet veilig is.

Klinkt bizar, tenzij het over smartphones gaat. Dan accepteren we dat als normaal.

Er is gratis anti-malware voor Android, dus wat mij betreft is er geen excuus.

[Reactie gewijzigd door Anoniem: 125509 op 19 december 2012 20:15]

Ik denk dat bij malware die echt goed geschreven is de rechten niet eens een rol spelen. en de app hoe dan ook die rechten krijgt. of ze nu wel of niet in het lijstje staan voordat het geinstalleerd wordt. ik zou gewoon altijd een goede virusscanner op je android zetten. dat beschermt je niet 100% maar in ieder geval beter dan helemaal niets.

Daarnaast zou het een goede zaak zijn als ook google hun playstore gaat dicht timmeren. niet zo zeer om te bepalen wat wel en niet mag in content gezien. zoals apple dit doet maar wel ter controle van eventuele virussen malware.

Ik snap dat google je de vrijheid wil geven. maar als vrijheid betekend ook de vrijheid om virussen en malware te installeren dan schiet het zijn doel lichtelijk voorbij.

Ik denk dat bij malware die echt goed geschreven is de rechten niet eens een rol spelen.

Helemaal eens, maar voor zover mij bekend zijn die er nog niet echt. In elk geval nog niets succesvols.

Ik weet vrij zeker dat dat groot nieuws zou zijn.

Halleluhah, de gebruiker klikt op een link, daar zijn die dingen voor zal hij denken, er wordt een app geinstalleert, kennelijk dus zonder standaard de gebruiker te inormeren dat dat gebeurt...
Maar nee hoor: "de onveiligheid ligt compleet bij de gebruiker"!

Alleen op tweakers.net kan zo'n uitspraak niet volledig naar het walhallah gemodereerd worden. Wat fijn voor je dat jij zo'n übertweaker bent dat je vast nog nooit op een link geklikt hebt en je je er onmiddelijk van bewust te zijn of daar een app geinstalleerd wordt! Is je tante ook zo goed op de hoogte of gaat het hier om een B-U-G van de eerste grootte?

Het is anno nu absoluut maar dan ook totaal onacceptabel dat zoiets zo maar kan, lijkt me persoonlijk reden voor een class-suit action richting Google. Zo blijft de Android/linux wereld inderdaad wel voorbehouden aan wereldvreemde nerds, alle normale mensen die vrolijk waren met een android toestel switchen na een paar van dit soort ervaringen weer om.....

Zelf had ik had op mijn iPhone een of ander abbonnement van "My Doo", die beweren dat je daarvoor duidelijk toestemming moet hebben verleent door een paar maal expliciet te klikken. Iets van €20/maand voor achtergrondjes, ringtones en soortgelijke flauwekul ik heb een standaard achtergrond en een foto die ik zelf gemaakt heb/ringtone, die zijn me goed genoeg. Ik ben zeker dat ik me nooit aangemeld heb voor dat ding, en vermoed dat een van apps een malaifide app is, maar welke?

Ik denk ook omdat een groot deel van de gebruikers base Android gebruikt met name omdat diverse fabrikanten Android toestellen maken. de markt voor virusen en malware juist stuk populaider zal gaan worden.

Ook door het ongecontroleerde beleid tov de playstore e.d. zorgen meer en meer voor malafide applicatie's.

Daarnaast denk ik ook dat het de verantwoordelijkheid zal worden van de providers als zij merken dat een bepaald 0900 nummer of SMS provider wordt gecontacteerd zij deze nummers ook moeten gaan blokeren of iig de persoon een melding geven.

Ik had op de iPad een leuke app die ik ook voor Android zag staan in de play store. De Android versie bleek echter fake en zette mn toestel vol met links naar vage spellen. Gelukkig verder niets an de hand, maar het risico zit in een klein hoekje.

Gelukkig blijft het echte gevaar voorlopig nog weg, maar in potentie is play rederlijk lek. Goede recenties kun je gewoon kopen dus ook daar kun je steeds minder op vertrouwen. Er staats Google niets in de weg om het spul te gaan screenen op mallware.

Volgens wordt ios inbandroid discussies meestal aangehaald om de focus van android design flaws af te leiden. Zo van "bij ios gaat het ook niet goed".

Wat dit laat zien is de hele oude tijd waarbij modem gebruikt werden om dure 0900 nummer te bellen. Zat je ineens met een rekening van duizenden euro's.

Het botnet nu stuurt ongemerkt sms'jes van jou telefoon en dat kan je ook handen vol met geld kosten. De volgende stap is dat ze ook naar dure 0900 nummers gaan bellen.

Mensen zijn zich helemaal niet bewust van deze gevaren. Iedere telefoon kan er op die manier last van hebben en je zal hem beter moeten beveiligen met malware en virus scanners ander krijg je in de toekomst een dikke rekening van misbruik.

Neemt niet weg dat providers ook een taak hebben om abnormaal bel en sms gedrag te stoppen en dat jou te melden.

Ik zie hier een link dat je best wel wat moet doen om dit te installeren, dus eigenlijk een user error:

je hebt:
- buiten de play store om geinstalleerd
- optie aan staan om buiten de play store apps te installeren
- de rechten van de app geaccepteerd

http://www.androidcentral...are-why-we-re-not-worried

Zijn dit soort problemen er niet met Cydia?

Nooit last van gehad, heb nu 3 iPhones gehad, allemaal ge-jailbreakt..

Nooit hogere SMS kosten gehad of ander raar gedrag

Gewoon geluk, of het is er weinig.

"Je hebt buiten de Playstore om geïnstalleerd"

Nee, het krijgen van een sms'sje en daarin een link aanklikken is voldoende om onderdeel van het botnet te worden.

Ik zou het laatste nieuws toch nog eens aandachtig nalezen. De te klikken link verwijst naar een apk bestand. Jouw auto-magisch verhaal is een hersenspinsel.

SpamSoldier is primarily spread through SMS messages that advertise free versions of popular paid games like Need for Speed or Angry Birds Space.

De link.

Once the user clicks on a link from one of these SMS messages, their phone downloads an application that claims to install the game.

De APK.

By opening that ‘installer’ app, the user is activating the SpamSoldier trojan.

Handmatig installeren, met het onvermijdelijke autorisatiescherm. En handmatig installeren betekent weer onvermijdelijk dat je de beveiliging tegen installeren buiten de Play Store om hebt uitgezet.

En zie, helemaal buiten de Play Store om.

[Reactie gewijzigd door Anoniem: 125509 op 19 december 2012 20:55]

Nee. Cydia heeft die problemen niet.

Android is eigenlijk toch een beetje het Windows onder de mobiele telefoons. Grootste marktaandeel, meeste virussen. Grappig eigenlijk, 't is toch Linux. 5 jaar geleden had niemand voor mogelijk gehouden dat er (althans voor mobiele apparaten) meer Linux dan MS (of Apple) virussen in omloop zouden zijn.

Dit heeft helemaal niks met de kernel te maken aangezien het gewoon een app (service) is en gebruik maakt van de fouten van gebruikers (alles accepteren of klikken).

Inderdaad.. Windows gebruikers lezen inderdaad alles voordat ze op [installeren] klikken

Windows gebruikers moeten heel wat meer lezen. Op Android zie je gewoon simpelweg waar de app toestemming tot heeft. Daar kan je al wat gevaren van afleiden. Angry Birds hoort geen smsjes te kunnen sturen. Google heeft er zelf voor gezorgd dat het zo werkt. Geen geval van verborgen voorwaarden, alles wat je moet weten staat expliciet aangegeven, niet meer niet minder. Zoveel alles om te lezen is er op Android dan ook niet.

Dat is waar, maar soms is het vrij onduidelijk waarom een app om rechten vraagt, terwijl als je wat langer nadenkt of onderzoekt waarom die rechten nodig zijn, het vaak een legitiem verzoek is. Een bonafide app zal niet snel teveel rechten vragen.

Zo word ik al wat kriegel als ik een app zie die "de inhoud van mijn sd-kaart" moet kunnen aanpassen, terwijl dat gewoon een app kan zijn die een deel van de inhoud (bij gps-navigatie bijvoorbeeld de kaarten) op de sd-kaart plaatst. Of in het geval van datzelfde navigatieprogramma de handige functie dat je naar je contacten kunt navigeren, maar daarvoor moet je je navigatieprogramma wel toegang geven tot je contacten. Dit zijn wellicht redelijk duidelijke redenen voor die rechten, maar je snapt waarschijnlijk wat ik bedoel

En je kunt niet individuele rechten weigeren, waardoor wellicht een deel (maar niet alle!) functionaliteit wegvalt. Het is alles of niets.

Op geroote toestellen kun je (via beveiligingssoftware) alsnog permissies weigeren van reeds geinstalleerde apps. Dus bijvoorbeeld voorkomen dat de een app een smsje kan sturen ondanks dat er tijdens de installatie toestemming voor is gegeven.

Helaas is dit echter geen standaard functionaliteit zoals dat bij iPhones tegenwoordig wel zo is.

Helaas zwerven er dan ook weer tig "beveiligingssoftwares" rond die van te voren al gepatched zijn.

Das wel jammer.
Toen ik een blackberry had, was het heel simpel, die vroeg bij elke nieuwe actie toestemming of het wel of niet mag.

Wellicht is dat gepatenteerd of jaagt google op app developers

Dat is ook een van de grootste dingen wat ik mis van mijn BB tov Android nu (naast het unified inbox).
Veiligheid staat bij BB boven alles. Hoop dat ze weer concurerend worden zodat Google en Apple dit ook gaan overnemen.

Apple heeft het zoals BB ook al, die vraagt of app X toegang mag hebben tot contacten of foto's als deze dit wilt,

Android staat vaak wel bij dat de app toegang nodig heeft tot contacten o.i.d maar dit kan je niet wijgeren (ja niet downloaden) en je hebt ook vaak geen idee wat het precies nou inhoud, gelukkig zijn er dan appmakers die uitleggen waarom de app die bepaalde toegang nodig heeft

wat ik mij afvraag is als je de app (ik neem aan dathet een app is) verwijderd zal detelefoon nog steeds doorblijven smsen?? en zie je bijv niet dat je X aantal sms'jes hebt verstuurd ??

[Reactie gewijzigd door [Remmes] op 18 december 2012 22:04]

Wat ik jammer vind is dat alleen wordt aangegeven wat rechten inhouden. Een app kan geen commentaar toevoegen waarvoor men die rechten denkt nodig te hebben.

Of nog beter, een optie om slechts een deel van de gevraagde rechten te accepteren. Een facebook app heeft echt geen toegang nodig tot al mijn contacten om te functioneren, noch om berichten te kunnen ontvangen en verzenden.

Als een app zelf commentaar kan toevoegen bij rechten, kan men in ieder geval uitleg geven. Zonder uitleg met voor mij dubieuze rechten installeer ik niks...

Met SRT AppGuard is het wel degelijk mogelijk om bepaalde rechten te weigeren. Het is mischien wel de vraag in hoeverre AppGuard kan worden vertrouwd(kan niet via de app store worden geinstalleerd).

Voordeel is dat je toestel niet hoeft te worden geroot om deze app te gebruiken.

[Reactie gewijzigd door gangkill13 op 19 december 2012 10:29]

Reactie op Brummetje

Zo werken de meeste Windows virussen toch ook? Jaren geleden was het credo vaak "op Linux ben je gewoon veilig". Dat lijkt nu minder waar te worden. De gebruiker is en blijft altijd de zwakste schakel, dat is hiermee in ieder geval wel aangetoond

[Reactie gewijzigd door Anoniem: 16536 op 18 december 2012 20:44]

In principe is Linux nooit veiliger geweest dan Windows, maar dat kwam alleen door de kleine marktaandeel waardoor er maar weinig virussen waren voor Linux systemen. Echter is het de afgelopen jaren, mede door Ubuntu, niet meer reëel om er van uit te gaan dat er geen virussen zijn of dat je er geen zult krijgen.

Een virusscanner installeren is trouwens makkelijk en snel gedaan. Even zoeken naar ClamAV en je bent in ieder geval een stapje beter beveiligd. Helaas kom ik nog geregeld systemen tegen die geen virusscanner hebben en ook deze zijn gewoon niet veilig. Je kunt er misschien weinig van merken, maar het kan alsnog.

In verhouding staat het natuurlijk nog als niets. Maar dit zal snel kunnen veranderen als steeds meer mensen Linux gaan gebruiken. Ben daarom ook altijd blij als ik mensen Windows zie gebruiken. Dat is al een fout van de gebruiker (lezen als grap ), maar het zijn vaak de mensen die niet veel van computers weten die denken dat alles wel goed zit.

Ik ben het niet helemaal met je eens. De manier waarop Linux werkt is anders dan Windows. Het security- en rechtemodel onder Linux is anders dan dat onder Windows (waar een user vaak onder een admin. account zit te werken...), bij Linux log je (zeker bij Ubuntu) niet in met de root account.
Deze staat, standaard, namelijk uitgeschakeld. Alleen door sudo te gebruiken verkrijg je rootrechten. En voor het gebruik van sudo moet je

1) De terminal induiken
2) gksudo oid gebruiken, maar dan gaat de user zich afvragen waar hij nu z'n password voor intikt (zeker omdat gksudo aangeeft welke binary/applicatie om root-rechten vraagt).

Natuurlijk is dit niet foolproof maar tis al beter dan hoe het in MS Windows is geregeld, en dan heb ik het nog niet eens gehad over het gebruik van SELinux...

Hoewel je gelijk hebt is Windows 7 standaard uitgerust met UAC waar je dus helemaal niks kan met je admin account zonder op "ok" of "toestaan" te klikken.

Je hebt gewoon een verkapt admin account waar geen enkele app iets mee kan, dat 90% van de gebruikers uberhaupt niet eens weet wat UAC inhoud en als het even kan uitschakeld kan MS niet aan doen maar is gewoon onwetendheid van de Windows gebruikers.

Het is heel simpel, het maakt niet uit welk systeem je hebt. Indien Linux of Apple de markleider was in OS software had je precies hetzelfde gehad wat Windows nu heeft.

Erger nog, het is gewoon te omzeilen, bij linux kan dit dus niet.

http://www.blackhatlibrary.net/Import:UAC_Bypass

Mijn eerste gedachte is dan alleen:
"Bij Linux kan dit nog niet."

Daar komt dat marktaandeel weer kijken. Als je er maar genoeg mankracht tegenaan gooit komt er vast wel een keer een manier bovendrijven waarop je iets dergelijks ook onder Linux kunt uithalen.

Nee, je bent geen root dus je krijgt geen root-rechten. Om root-rechten te krijgen zal je eerst root moeten worden.

Er zijn al wel zo nu en dan exploits geweest waarbij je op vrij eenvoudige wijze root kon worden, bijvoorbeeld door de root-sessie van een SETUID-binary te kapen. Deze lekken waren dan wel weer extreem snel gepatcht.

Mankracht heeft er weinig mee te maken, door het grote aandeel servers dat op Linux draait zijn er meer dan genoeg hackers geinteresseerd om root-rechten op Linux-systemen te verkrijgen, en er zijn dus ook genoeg mensen dat aan het onderzoeken. Heel af en toe lukt dit ook, maar de frequentie is vele malen lager dan bij WIndows.

Niet echt eerlijk, bij windows was het zeker tijdens XP tijdperk zo dat een virus op het netwerk, zonder jouw medeweten gewoon je PC infecteerde. Ik kan me nog herinneren dat je met IE6 toentertijd bepaalde websites echt niet moest bezoeken, want dan kon je je computer opnieuw installeren. Of een USB stick in je computer stoppen, en weg was alles...

Ik kan me nog herinneren dat je met IE6 toentertijd bepaalde websites echt niet moest bezoeken, want dan kon je je computer opnieuw installeren. Of een USB stick in je computer stoppen, en weg was alles...

Er staan dagelijks berichten in de krant dat dat nog steeds zo is (met IE7, 8, 9, 10) dat 't mis gaat door simpelweg een normale site te bezoeken, zoals de NRC laatst... Dus waar je vandaan haalt dat dat probleem voorbij is... Joost mag 't weten.

Het app-systeem met java-vm heeft niks met Linux an sich te maken. Dat is een eigenschap die alleen Android heeft. Dit probleem is dus helemaal niet af te schuiven op Linux.

Er is geen java-vm, er draait geen java op Android, het is Dalvik, en dat is geen versie van java. Java is wel een van de bron talen voor Android applicaties.

Er zijn helemaal niet veel virussen, dit betreft vaak malware die buiten de markt is geinstalleerd door de gebruiker zelf en waar de applicatie toestemming heeft gekregen van de gebruiker om deze handelingen te verrichten.

Grappig eigenlijk, 't is toch Linux.

Of een OS virus-vrij is of niet is niet inherent aan een OS en/of een naam. Het heeft simpelweg met marktaandeel te maken. Het OS met het grootste martkaandeel is het interessantst omdat je bijv in het geval van Android een virus maakt voor 70+% van de smartphones. Je ziet het nu ook met OSX, nu Apple populair wordt zijn er ook steeds meer virussen/malware en bekende exploits.

Dat is wel heel makkelijk je kan het niet alleen daar op afschuiven. De openheid van Android vraagt erom dat je een dergelijke security probleem hebt. Velen klagen dat een IOS strikt is, maar het heeft dan als voordeel dat malware maken cq verspreiden wel een verdomd stuk moeilijker is. OSX is ook zeer open en in principe ook een makkeljk target, niet voor niks dat Apple ook in de standaard mode de teugels flink aantrekt en Apps uit de AppStore allemaal in een sandbox draaien met behoorlijke restricties.
Zeker populairiteit is belangrijk, maar het heeft ook wel degelijk te maken met het design van het OS en wat de maker allemaal toestaat.

Als je geen regels hebt, dan wordt het je makkelijk gemaakt.

Waar ik benieuwd naar ben is of hoe je precies geinfecteerd kunt raken. Gebeurt dit enkel door op de genoemde link te klikken of moet je ook nog kiezen om een pakket te installeren?

M.A.W.: Hebben we hier te maken met een android exploit, of wordt hier enkel gerekend op de welwillendheid van mensen om het te installeren?

Ik denk dat ik dit prima zonder exploits te misbruiken kan maken. Android heeft een leuke API die je gewoon kan gebruiken voor het versturen van sms (SmsManager). Ook het verbinden met een server is niet bepaald zeer ingewikkeld. Dat kan je in een paar uurtjes tijd (als niet minder) zelf wel maken. Kijk dus uit voor apps die zowel sms kunnen sturen als verbinding maken met het internet.

Maar alleen apps kunnen die API gebruiken. Wat cyberstalker bedoelt is: hoe kom je dan aan die kwaadaardige app op je telefoon? Wordt die app direct op de achtergrond geinstalleerd als je op die link in de sms klikt (dan is er sprake van een exploit) of moet je eerst als gebruiker op "install" klikken (dan is er sprake van een naïeve gebruiker).

In het bronartikel staat dat dat laatste het geval is.

[Reactie gewijzigd door Schramowski op 18 december 2012 22:24]

Op de meeste Android telefoons kun je alleen software van de Google Play Market downloaden, tenzij je het in de instellingen anders inschakelt.
Daarnaast krijg je altijd te zien welke rechten software nodig heeft en moet je dat accepteren voordat het apk bestand geinstalleerd kan worden.

Daarnaast krijg je altijd te zien welke rechten software nodig heeft en moet je dat accepteren voordat het apk bestand geinstalleerd kan worden.

Alleen is dat accepteren een wassen neus. Je doet dit van te voren (bijv de developer heeft keurig in de omschrijving staan dat je vanuit de app ook verjaardagssmsjes kan sturen oid, iedereen denkt : ga ik nooit gebruiken maar het staat netjes uitgelegd dus het zal wel goed zitten)
Waarne er 100.000 sms'jes naar een 0900-nr gestuurd worden, oeps...

Of een social media app die inet toegang en contactpersonen toegang wenst (klinkt aannemelijk maar feitelijk geef je ook toestemming om je hele contactpersonen gedeelte continu te synchen met de ad-servers van die ontwikkelaar)

Persoonlijk zou ik veel liever zien dat er per gebruik een acceptatie vraag kwam en dan met een mogelijkheid tot altijd accepteren of eenmalig accepteren.

Het gaat dus om mensen die op een spam link klikken. Vervolgens de app downloaden en dan alsnog allerlei rare toegangseisen accepteren. Dat is echt dom op dom op dom.

Ik meen me te herinneren dat een vrij recente android versie beveiliging had ingebouwd, waarbij je niet zomaar premium sms kon versturen. (ongemerkt bijv.)

Mijn 4.2 nexus waarschuwt als je snel veel SMS achter elkaar stuurt. Ik kwam erachter toen ik via een SMS een chatgesprekje voerde...

Is dat dan Een Android beveiliging of een beveiliging op app niveau?

Dus als er niet veel verstuurd worden kan dat onopgemerkt?

Waarom maken ze niet een methode in de class waarvan het versturen van een sms
private is en altijd een trigger stuurt naar de gebruiker?

Elke keer als er dan een sms verstuurd wordt de gebruiker geinformeerd.
De methode van het object kan niet overschreven worden en alle overervingen zullen dan altijd met dezelfde methode moeten werken.
Zolang dat de enige methode is in de source die sms aanspreekt dan heb je het probleem zo goed als al opgelost. Waarmee ik dus aantoon dat de beveiliging niet op plakmiddel niveau moet liggen maar bij de kern van het probleem.

Maar dat had al tijdens de ontwikkeling moeten meegenomen worden.

[Reactie gewijzigd door BoringDay op 19 december 2012 19:17]

Omdat je dan gillend gek wordt als je een alternatieve SMS manager gebruikt.

waarom zou je dan gek worden? SMS is SMS en gebruiken allemaal hetzelfde protocol. overigens zie ik het nu al niet eens in om een geintergreerde sms applicatie te vervangen voor een alternatief.

[Reactie gewijzigd door BoringDay op 20 december 2012 06:37]

Lekker dan met jullie Android. Houd nu gewoon eens je smoel als iemand iets anders gebruikt en prijs wat jijzelf gebruikt niet de hemel in. Zo geweldig is Android helemaal niet, iOS ook niet en Windows Phone ook niet.

Feit is wel dat het populairste systeem altijd de Sjaak is m.b.t. beveiliging issues, zie Windows VS OS X. Voor Windows zijn er virussen e.d. juist omdat het populair is en het maken van een virus o.i.d. kan lonen. Idem in het geval van Android vs de rest. Het is niet leuk en interessant om een virus o.i.d. voor iOS of Windows Phone te schrijven.

Mod me maar naar beneden Want het is natuurlijk niet fijn om te horen door dat je het populairste mobiele besturingssysteem gebruikt ook meteen het meest onveilige mobiele besturingssysteem. hebt.

[Reactie gewijzigd door madmaxnl op 18 december 2012 22:05]

Wat een onzin, het heeft met architectuur te maken niet aantal gebruikers.

Veiligheid leg je namelijk in de kern.
Daar blijkt zoals verwacht android flink in te falen

Ja tot op zekere hoogte, maar er gaan altijd gaten in je beveiliging zitten.

Hoe meer gebruikers een besturingssysteem heeft, hoe meer mensen en hoe meer moeite er gedaan gaat worden om deze te vinden. Immers loont het meer en is het pas leuk als je veel mensen kan raken.

Dit is gewoon een feit. Als even veel mensen die bezig zijn om Windows onveilig te maken, zich bezig gingen houden met Mac OS X of Linux dan zou je waarschijnlijk zien dat die laatste twee onveiliger zijn dan Windows. Enkel en alleen al om het feit dat veel gaten in de Windows beveiliging zijn gedicht omwille van de populariteit bij misbruikers c.q. virus en andere ongein schrijvers.

"Ja tot op zekere hoogte, maar er gaan altijd gaten in je beveiliging zitten."

Zoals ik al aangeef als je de beveiliging op het niveau v.d. kern/systeem legt dan voorkom je veel van dit soort fouten.

En kom niet aan met beweringen alsof OSX/Linux weinig gebruikers heeft, deze systemen hebben al jaren lang de proef doorstaan.

Als Android beveiliging op kern-niveau had gemaakt dan zou het gewoon onmogelijk zijn geweest onopgemerkt sms te versturen.

[Reactie gewijzigd door BoringDay op 19 december 2012 06:46]

Alsof er maar een paar duizend iOS gebruikers zijn wereldwijd?

Er zijn een kleine 500 miljoen iOS devices in omloop.

Naar verluid zijn er bijna 500 miljoen Android toestellen in omloop volgens deze site. Daarmee zouden ze een aandeel van 60 a 65 procent hebben.

500 miljoen iOS devices past niet goed in het plaatje. Hoe kom je aan dat aantal?

Maar eerlijk gezegd zijn Apple en Android volstrekt onvergelijkbaar. In Android kan je apps buiten de store om installeren. Bij iOS kan dat niet. Dat maakt de eerste per definitie kwetsbaarder, omdat de gebruiker altijd het grootste risico is.

Een gesloten eco-systeem, zoals dat van Apple, maakt de risico factor 'gebruiker' stukken kleiner. Hoe veilig of onveilig elk os ook is, die discussie is eigenlijk overbodig.