Androidgebruikers die apps buiten Google Play om installeren én een oude Androidversie gebruiken zijn kwetsbaar voor een nieuwe aanval. Het zou naar schatting om de helft van alle Androidgebruikers gaan, zo waarschuwt beveiligingsbedrijf Palo Alto Networks. Het werkelijke aantal ligt waarschijnlijk veel lager.

Via de kwetsbaarheid kan een aanvaller inbreken in de installatie van een ogenschijnlijk veilig APK-bestand en die vervangen door een app naar keuze, zonder dat de gebruiker hier iets van merkt. Het beveiligingsprobleem wordt veroorzaakt door een fout in de systeemservice "PackageInstaller" van Android, waardoor aanvallers ongemerkt een onbeperkt aantal toegangsrechten kunnen krijgen. Tijdens de installatie laten Android-apps zien welke machtigingen ze nodig hebben om goed te kunnen werken. Een berichtenapp heeft bijvoorbeeld toegang nodig tot sms-berichten, maar niet tot de gps-locatie.

De kwetsbaarheid geeft aanvallers de mogelijkheid gebruikers te misleiden door een valse, kleinere set toegangsrechten te laten zien. In werkelijkheid zal de gebruiker, als hij ervoor kiest om de app te installeren, juist toegang geven tot alle diensten en data op het apparaat, inclusief persoonlijke gegevens en wachtwoorden. Het probleem is aanwezig in Android 2.3, 4.0.3-4.0.4, 4.1.X, en 4.2.x en sommige distributies van 4.3. Volgens Palo Alto Networks gebruikt ongeveer de helft van de Androidgebruikers één van deze versies.

Het werkelijke aantal gebruikers dat risico loopt ligt waarschijnlijk veel lager. Het beveiligingsprobleem doet zich namelijk alleen voor bij Android-apps die worden gedownload bij derden en onofficiële marktplaatsen. Het geldt niet voor apps die zijn gedownload via Google Play. Deze bestanden worden namelijk in een veilige omgeving gedownload die niet door een aanvaller kan worden aangepast. Eigenaren van kwetsbare Androidtoestellen krijgen dan ook het advies om alleen apps via Google Play te downloaden.