Malware in de app store | Een strijd die al jaren gaande is

Vroeger had je een telefoon om mee te bellen en later werd ook sms’en redelijk standaard. Tegenwoordig kan een telefoon net even wat meer dan alleen berichten versturen en bellen. Sterker nog, ik heb het idee dat bellen flink aan populariteit heeft verloren. Ik zie zelden nog mensen op straat lopen met de telefoon aan hun oor. Tot mijn lichte frustratie zie ik ze vaker met een telefoon voor hun hoofd zwaaien terwijl ze aan het beeldbellen zijn en de rest van de trein of kroeg mag meegenieten van de vaak intens intellectuele conversaties. Het punt is, een telefoon is al heel lang geen telefoon meer maar een multimedia device waarbij apps dicteren wat je er mee kan doen. Klakkeloos downloadt iedereen apps zonder ook maar even te checken in hoeverre dit veilig is. Of dit handig is? uiteraard niet. Want u weet inmiddels dat op het moment dat de consument aannames gaat maken over online veiligheid, de hackers hier misbruik van maken.

Malware ongezien in de app store

Wat veel mensen niet weten is dat de app store een zeer populaire plek was, en nog steeds is, om malware te verspreiden. Toegegeven, vroeger ging dat een stuk gemakkelijk. Tegenwoordig heeft zowel Google als Apple de boel goed op slot zitten maar dit geeft niet de garantie dat elke app veilig is. Sterker nog, deze week kwam naar buiten dat de ‘SharkBot banking-malware’ de Google Play Store geïnfiltreerd heeft. Iets waarvan Google al tijden roept dat het onmogelijk zou zijn. Niks bleek minder waar. Hoewel de Antivirus App ‘Antivirus, Super cleaner’, welke diende als vermomming voor de trojan-app, verre van populair was laat de aanwezigheid van de app zien dat de verdediging van Google nog steeds prima te omzeilen is.

Geavanceerde malware gericht op telefoonovername en bankierapps

De malware werd voor het eerst ontdekt door Cleafy in oktober 2021. Het belangrijkste kenmerk, waarmee het zich onderscheidde van andere trojans in het bankwezen, was het overmaken van geld via Automatic Transfer Systems (ATS). Dit was mogelijk door aanrakingen, klikken en drukken op knoppen op gecompromitteerde apparaten te simuleren. De vier primaire functies in de nieuwste versie van SharkBot zijn:

• Injecties (overlay-aanval): SharkBot kan inloggegevens stelen door webinhoud (WebView) te tonen met een valse login-website (phishing) zodra het detecteert dat de officiële bank-app is geopend
• Keylogging : Sharkbot kan inloggegevens stelen door toegankelijkheidsgebeurtenissen te loggen (gerelateerd aan wijzigingen in tekstvelden en aangeklikte knoppen) en deze logs naar de command and control-server (C2) te sturen
• SMS onderscheppen : Sharkbot kan SMS-berichten onderscheppen/verbergen.
• Bediening op afstand/ATS : Sharkbot heeft de mogelijkheid om volledige bediening op afstand van een Android-apparaat te verkrijgen (via Accessibility Services).

Op het moment van schrijven lijkt de app nog steeds in de store te staan.

Meer dan 50.000 keer gedownload

Eerder dit jaar maakten we ook kennis met een malafide app die zich voordoet als een cleaner-app maar in werkelijkheid bankmalware installeert en die gegevens voor 56 banken kan onderscheppen. De app, met de naam Fast Cleaner is inmiddels uit de playstore verwijderd maar heeft wel mogelijk 50.000 apparaten geïnfecteerd en potentieel ook flink wat geld buitgemaakt. Hier zijn echter nog geen meldingen over gedaan.

De app verscheen op 18 januari voor het eerst in de Play Store. Volgens securitybedrijf ThreatFabric gaat het in werkelijkheid om een dropper die aanvullende malware installeert. In dit geval krijgen gebruikers een melding te zien dat er een update beschikbaar is en de installatie van onbekende bronnen moet worden ingeschakeld. Na de installatie van deze zogenaamde update, wat in werkelijkheid de bankmalware is, vraagt de malware om toegang tot de Accessibility Service. Zodra de gebruiker zijn bank-app start gebruikt de malware deze service voor het tonen van een overlay waarmee bankgegevens zijn te stelen.

Apps downloaden al jaren een risico

Al sinds dat er apps op de markt verkrijgbaar zijn is malware een bijkomend risico. Dit zagen we al in 2015 toen er een flinke malware uitbraak in de iOS-app store was. Deze apps, en de bijkomende malware, werd destijds gedownload door maar liefst honderden miljoenen gebruikers. De voornaamste reden hiervoor was dat de malware verstopt zat in enkele zeer populaire Chinese apps. Apple bevestigde destijds op 20 september dat het kwaadaardige iPhone-, iPad- en iPod Touch-software had verwijderd nadat meerdere informatiebeveiligingsbedrijven hadden gewaarschuwd dat “XcodeGhost”-malware was gevonden in verder legitieme apps, waarvan vele gericht waren op Chineestalige sprekers. De malware zat onder andere in de WeChat-app van Tencent met wereldwijd meer dan 600 miljoen gebruikers.

Het moraal van het verhaal? Download niet zomaar elke app waarvan je denkt dat je het nodig hebt. Zelfs niet wanneer deze veel en goede reviews heeft. Net zoals likes op instagram zijn ook reviews gewoon in te kopen. Dit zegt dus bijzonder weinig. Vertrouw niet blindelings op al het moois in de app store maar wees kritisch en doe je eigen onderzoek. En als je dit teveel werkt vindt vraag jezelf dan eens het volgende af. Hoe ongemakkelijk zou het worden als alles dat op jouw telefoon staat op straat komt te liggen? Precies ja, dat wil je niet!