Twee jaar geleden heeft Google verschillende Androidtelefoons ontdekt die standaard met malware werden geleverd. Het ging om de Triada-malware waar Security.NL al eerder over berichtte. De malware installeert malafide apps die advertenties tonen. Daarnaast injecteert Triada code in vier browsers, namelijk de Android-browser en browsers van 360 Secure, Cheetah en Oupeng.

Deze geïnjecteerde code zorgde ervoor dat url's werden overschreven en advertenties op websites werden vervangen door advertenties waar de Triada-ontwikkelaars aan verdienden. In eerste instantie werd de malware verspreid via apps die het toestel probeerden te rooten. Halverwege 2017 kozen de ontwikkelaars voor een andere aanpak. Volgens Google omdat Google Play Protect betere bescherming bood tegen rooting-exploits.

In plaats van het gebruik van exploits slaagden de malware-ontwikkelaars erin om Triada vooraf geïnstalleerd op telefoons te krijgen. Daarnaast was de malware veranderd in een volledige backdoor die code in de context van andere apps kon uitvoeren, waaronder de Google Play-app. Op deze manier kon de malware aanvullende apps vanaf een remote server installeren, zonder dat het installeren van onbekende bronnen moest worden ingeschakeld.

Verder onderzoek wees uit dat fabrikanten niet wisten dat ze de malware op hun telefoons installeerden, aldus Google. Sommige fabrikanten vragen derde partijen om aanvullende features te ontwikkelen. De fabrikant stuurt de aan te passen systeem-image naar deze derde partij. De derde partij voegt de gevraagde feature toe en stuurt de systeem-image terug naar de fabrikant, die de image op zijn Androidtoestellen installeert. In het geval van Triada werd de malware naast de gevraagde features geïnstalleerd.

Google benaderde de getroffen fabrikanten zodat die systeem-updates konden uitbrengen om de malware te verwijderen. Daarnaast zocht Google op Androidtoestellen naar de malware en soortgelijke dreigingen. Volgens de internetgigant laat deze zaak zien dat fabrikanten ervoor moeten zorgen dat alle third-party code die ze ontvangen wordt gecontroleerd. Het leveren van Androidtoestellen met malware komt vaker voor. Gisteren gaf de Duitse overheid nog een waarschuwing voor besmette telefoons die het heeft ontdekt.