Onderzoekers van de Vrije Universiteit in Amsterdam hebben een beveiligingsprobleem in Android onthuld waardoor een aanvaller via de gestolen inloggegevens van een Google-account in een aantal stappen kwaadaardige apps op toestellen kan installeren.

Het probleem wordt veroorzaakt doordat Google één account voor verschillende apparaten gebruikt. Een aanvaller die de computer van een Androidgebruiker weet te infecteren en erin slaagt om het wachtwoord van het Google-account te stelen, kan vervolgens apps op alle Androidtoestellen installeren die bij dat account horen, zo lieten de onderzoekers dit weekend aan de Volkskrant weten. De toestellen die de onderzoekers gebruikten lieten alleen tijdens het installatieproces meldingen zien in de notificatiebalk, zoals het downloaden en installeren van de app.

"Maar zodra dit klaar was, was er niets meer te zien totdat het notificatiescherm expliciet geopend wordt. Ook is het zo dat het icoon van de app niet altijd op het hoofdscherm terecht komt, maar soms alleen bij het 'alle apps' overzicht, bijvoorbeeld als je hoofdscherm al vol staat, of - als de app op de juiste manier wordt gepublished - helemaal niet. Wij maken gebruik van dit laatste", zegt VU-onderzoeker Victor van der Veen tegenover Security.NL. Samen met onderzoeker Radhesh Krishnan en hoogleraar systeem- en netwerkbeveiliging Herbert Bos ontdekte en onderzocht hij het probleem.

Play Store

Van der Veen stelt dat via de aanvalsvector alleen apps uit de Play Store geïnstalleerd kunnen worden. Volgens de onderzoeker heeft een aanvaller vervolgens twee opties. Of het plaatsen van een eenvoudige app op Google Play, die na geopend te worden een nieuwe malafide app installeert. Hiervoor zou de gebruiker echter wel zelf moeten instellen dat apps van externe bronnen kunnen worden geïnstalleerd. Iets dat standaard staat uitgeschakeld. De tweede optie is het plaatsen van een app op Google Play met daarin al kwaadaardige code. "We hebben ondertussen verschillende 'foute' apps in de Play Store gekregen zonder dat deze gedetecteerd zijn als malafide door Google", aldus Van der Veen.

Via de kwaadaardige app kan een aanvaller vervolgens allerlei acties op het toestel uitvoeren, zoals het onderscheppen van sms-berichten of het inschakelen van de camera. De onderzoekers waarschuwden Google eind vorig jaar, maar de internetgigant zou niets aan het probleem willen doen. Van der Veen adviseert gebruikers die zich tegen eventuele aanvallen willen beschermen om op te letten. Zo moeten ongevraagd gedownloade apps direct worden verwijderd en moet de optie "installeren van externe bronnen" staan uitgeschakeld. Ook moeten gebruikers regelmatig hun wachtwoorden wijzigen. "Zeker als er verdachte of vreemde signalen zijn. En bescherm je pc, want daar komen de criminelen voor het eerst binnen", merkt de onderzoeker op.