Malware besmet Android automatisch via gehackte sites
Voor het eerst zijn er drive-by download-aanvallen op smartphones en tablets waargenomen, waarbij er geprobeerd wordt Android-toestellen met een Trojaans paard te infecteren. In tegenstelling tot soortgelijke aanvallen op Windows- en Mac-computers is er nog wel enkele interactie van de gebruiker vereist. De aanval werd als eerste gerapporteerd op Reddit.
Een gebruiker meldt daar hoe er tijdens het bezoeken van een website automatisch een bestand genaamd update.apk werd gedownload en hij de vraag kreeg om het te installeren. De smartphone werd beschermd door de mobiele virusscanner van Lookout, die echter geen alarm sloeg. Het anti-virusbedrijf onderzocht de melding en ontdekte dat het om een Trojaans paard gaat dat automatisch op Android-toestellen wordt gedownload en zich vervolgens probeert te installeren.
Om de installatie mogelijk te maken moet de gebruiker de instelling om downloads vanaf “Unknown sources” toe te staan hebben ingeschakeld. Als dit niet is ingesteld, wat standaard het geval is, wordt de installatie geblokkeerd.
Websites
De gehackte websites die de malware verspreiden bevatten een iframe dat naar het domein gaoanalitics.info wijst. Als een computergebruiker deze pagina vanaf zijn pc bezoekt gebeurt er niets, maar wordt de website vanaf een Android-toestel geladen, dan wordt er een bestand van het domein androidonlinefix.info geladen.
Het Trojaanse paard dat de website downloadt wordt NotCompatible genoemd en zou als een eenvoudige TCP relay/proxy fungeren. Volgens Lookout veroorzaakt de malware geen directe schade aan het apparaat, maar kan het in potentie worden gebruikt om illegaal toegang tot private netwerken te krijgen, door geïnfecteerde Android-toestellen als een proxy te gebruiken.
Ook Lookout bevestigt dat dit de eerste keer in de geschiedenis is dat gehackte websites Android-malware verspreiden.
Want het gebeurt niet automatische, staat zelf: "Om de installatie mogelijk te maken moet de gebruiker de instelling om downloads vanaf “Unknown sources” toe te staan hebben ingeschakeld. Als dit niet is ingesteld, wat standaard het geval is, wordt de installatie geblokkeerd. "
Oftewel, wordt dit nog steeds door de gebruiker zelf geïnstalleerd. Zo kan ik namelijk ook zeggen dat auto's automatische rijden, mits natuurlijk er een bestuurder is die de auto aanzet en ermee rijd. Daarnaast vind ik dit ook geen echte Drive-By omdat er waarschijnlijk gewoon gebruik gemaakt wordt van <a href></a> HTML Code (in de iFrame) wat zelfs kind van drie jaar nog kan maken. Maar goed Drive-By is een breed begrip.
Dit is 101% bangmakerij richting de wereld dat je dus opeens "niet veilig" kan browsen met een Android toestel.
Want het gebeurt niet automatische, staat zelf: "Om de installatie mogelijk te maken moet de gebruiker de instelling om downloads vanaf “Unknown sources” toe te staan hebben ingeschakeld. Als dit niet is ingesteld, wat standaard het geval is, wordt de installatie geblokkeerd. "
Als je inderdaad een popup krijgt of je het bestand update.apk wilt installeren, dan ben ik het met je eens dat het geen echte drive-by is, want nog steeds gebruikersinteractie vereist.
Want het gebeurt niet automatische, staat zelf: "Om de installatie mogelijk te maken moet de gebruiker de instelling om downloads vanaf “Unknown sources” toe te staan hebben ingeschakeld. Als dit niet is ingesteld, wat standaard het geval is, wordt de installatie geblokkeerd. "
Als je inderdaad een popup krijgt of je het bestand update.apk wilt installeren, dan ben ik het met je eens dat het geen echte drive-by is, want nog steeds gebruikersinteractie vereist.
Naja dat is het dus ook, je krijgt een pop-up met de text als je de update.apk wilt installeren. Die geeft ook aan dat hij volledige internet toegang nodig heeft. Dus op dit punt ben je idd met mij eens dan =P
Deze posting is gelocked. Reageren is niet meer mogelijk.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
