Vorige week zijn erin Denemarken en mogelijk ook andere landen sms-berichten verspreid waarin wordt gemeld dat de ontvanger een mms-bericht kan bekijken, maar in werkelijkheid gaat het om Android-malware. Dat laat het Deense beveiligingsbedrijf CSIS in een analyse weten.

De link in het sms-bericht wijst naar een website waar het bestand mms.apk wordt aangeboden. De Android-app vraagt om beheerdersrechten en installeert vervolgens Tor op het toestel. Via Tor wordt met een server op het Tor-netwerk verbinding gemaakt. Eenmaal actief kan een aanvaller via de malware het toestel monitoren, sms-berichten naar betaalde nummers sturen en sms-berichten van en naar het slachtoffer lezen.

Tevens wordt er een proxy geïnstalleerd, voor het uitvoeren van Man-in-the-Middle-aanvallen, en injecteert de malware zich in Google Chrome. CSIS ontdekte dat de malware niet op Android-toestellen met een Russische taalinstelling kan worden geïnstalleerd. MazarBOT, zoals de malware heet, wordt al enige tijd op fora voor cybercriminelen aangeboden. "Dit is echter de eerste keer dat we aanvallen met de malware hebben waargenomen", zegt Peter Kruse van CSIS.