Onderzoekers hebben Android-malware ontdekt die geroote toestellen infecteert. De DKFBootKit is een variant van de beruchte DroidKungFu-malware, die zich via applicaties verspreidde en een exploit gebruikte om root-rechten op de smartphone te krijgen. In tegenstelling tot eerdere varianten, gebruikt DKFBootKit geen exploit. De malware verstopt zich in legitieme applicaties die voor de installatie root-rechten nodig hebben.

Vervolgens voegt DKFBootKit zichzelf aan het opstartproces van het originele Android systeem toe en vervangt een aantal programma's, zoals ifconfig en mount. Daardoor wordt de malware geladen voordat het volledige Android framework is gestart. "Voor zover wij weten is dit de eerste malware die een volledige bootkit op Android gebruikt, wat een serieuze dreiging voor mobiele gebruikers vormt", aldus de onderzoekers van NQ Mobile.

Bootkit
Inmiddels zijn er meer dan honderd besmette applicaties aangetroffen en het aantal zou nog groeien. Onder de geïnfecteerde apps bevinden zich apps voor het beheren van geinstalleerde apps, het unlocken van populaire spellen en het genereren van licentiesleutels voor betaalde apps.

Eenmaal actief controleert de bootkit of die root-rechten heeft en wordt de systeempartitie met schrijfrechten gemount. Tevens kopieert de malware zich in de system/lib directory en vervangt het verschillende programma's. Als laatste wordt er met verschillende Command & Control servers contact gemaakt. De malware zou mogelijk al sinds januari actief zijn.