Onderzoekers hebben een Trojaans paard voor Android smartphones ontwikkeld, dat gesproken creditcardnummers en andere gegevens kan stelen, zonder dat de gebruiker of een virusscanner dit doorhebben. De malware wordt Soundminer genoemd en kan telefoongesprekken opslaan, bijvoorbeeld als iemand zijn creditcardnummer zegt, of dit via het toetsenbord van de telefoon invoert.

Via verschillende technieken weet Soundminer de opgeslagen informatie te verwerken, zodat alleen het creditcardnummer naar de aanvaller wordt gestuurd. "Ons onderzoek toont aan dat het creditcardnummer van een individu op betrouwbare wijze is te identificeren en stiekem kan worden doorgestuurd. Daarom is de dreiging van zo'n aanval echt", aldus Kehuan Zhang, Xiaoyong Zhou, Mehool Intwala, Apu Kapadia, XiaoFeng Wang van de Indiana University Bloomington en Roman Schlegel van de City University of Hong Kong.

De malware is zo ontwikkeld dat die zelden om toestemming vraagt, om zo argwaan te voorkomen. Zo kan Soundminer toegang tot de microfoon van de telefoon hebben, maar heeft het geen rechten om gegevens te versturen of uitgaande gesprekken te onderscheppen, aangezien dit verdacht zou zijn. Daarom combineerden de onderzoekers Soundminer met een aparte Trojan genaamd Deliverer, die de door Soundminder verzamelde informatie verstuurt.

Geheime kanalen
Android kan communicatie tussen applicaties voorkomen, maar de onderzoeker ontdekten een manier zodat Soundminer toch met Deliverer kan communiceren. Zo zijn er verschillende "geheime kanalen", waar aanpassingen in een functie aan verschillende applicaties worden doorgegeven, zoals de trilinstelling. Soundminer zou de gestolen informatie zo kunnen coderen dat het op een trilinstelling lijkt, terwijl Deliverer deze informatie ontsleutelt en naar een remote server stuurt. Voor de trilinstelling zijn slechts 87 bits bandbreedte nodig, terwijl het versturen van een creditcardnummer slechts 54 bits kost.

Soundminer is zo ontwikkeld dat het de stem en nummerherkenning op de telefoon zelf doet, waardoor er geen grote hoeveelheid data verstuurd hoeft te worden, wat beveiligingssoftware zou kunnen alarmeren. Twee virusscanners voor Android smartphones, VirusGuard en Droid Security AntiVirus, wisten de malware niet te detecteren, zelfs niet toen het gegevens opnam en verstuurde. Dit PDF-bestand bevat een presentatie van Soundminer.