Voormalig McAfee-onderzoeker heeft een zero-day lek in smartphones ontdekt om vervolgens malware te installeren waarmee telefoongesprekken zijn af te luisteren. De aanval die Dmitri Alperovitch tijdens de RSA conferentie in San Francisco zal demonstreren, maakt gebruik van een bestaande backdoor die in China is ontwikkeld. Het programma heet Nickispy en werd vorig jaar op de officiële Android Marktplaats als een Google+ app aangeboden. De malware werd snel door Google verwijderd, waardoor er weinig gebruikers besmet zouden zijn geraakt.

Alperovitch en zijn team reverse engineerden de malware en gebruikten die vervolgens voor een spear phishing-aanval. Het slachtoffer krijgt in dit geval een bericht dat van de telecomaanbieder afkomstig lijkt, waarin wordt gevraagd om op een link te klikken. Via een zero-day beveiligingslek lukte het de onderzoeker om de aangepaste Nickyspy malware op de telefoon te installeren.

Backdoor
"Zodra je naar de site gaat, wordt een echte Chinese remote access tool op je telefoon gedownload. Zodra de app is geïnstalleerd, kunnen we gesprekken onderscheppen. Zodra je begint met bellen wordt de microfoon geactiveerd." Daarnaast kan de malware sms-berichten en e-mails onderscheppen en de locatie van de telefoon doorgeven.

In theorie zou de aanval zelfs gebruikt kunnen worden om een bedrijfsnetwerk te infiltreren, merkt Alperovitch op. "Dit laat echt zien dat het huidige beveiligingsmodel voor smartphones onvoldoende is", stelt de onderzoeker. Het experiment werd op een Android smartphone uitgevoerd, maar iPhones zouden volgens Alperovitch net zo kwetsbaar zijn.