Onderzoekers hebben in de Google Play Store malafide apps ontdekt die bankmalware proberen te installeren waarvan ook Nederlandse banken het doelwit zijn. De malafide apps zijn bij elkaar meer dan 130.000 keer geïnstalleerd, zo laat securitybedrijf ThreatFabric weten. De apps, met namen als My Finances Tracker en Recover Audio, Images & Videos, zijn droppers die gebruikers de uiteindelijke malware proberen te laten installeren. Het gaat daarbij om de malware genaamd SharkBot en Vultur.

Zo openen de droppers in de browser een nagemaakte pagina van de Google Play Store waarop een app is te zien, met valse informatie over het aantal installaties en reviews. Vervolgens wordt een APK-bestand gedownload. Op deze manier heeft de dropper geen verdachte permissies nodig, aangezien het downloadproces aan de browser wordt uitbesteed.

Gebruikers moeten in dit geval nog wel een app uit een onbetrouwbare bron installeren, maar omdat de app vanuit de Google Play Store lijkt te komen zullen gebruikers mogelijk eerder geneigd zijn dit te doen. Ook komt het voor dat de droppers laten zien dat er een update beschikbaar is die de gebruiker moet downloaden. Wederom gaat het om een malafide APK die buiten de Play Store wordt aangeboden en de daadwerkelijke malware bevat.

De Vultur-mlaware maakt schermopnames en logt elke actie van de gebruiker binnen de bank-app. Zo kan de malware inloggegevens stelen. Criminelen kunnen via de malware en met de gestolen inloggegevens vanaf het besmette toestel op de bank-app inloggen en daarmee frauduleuze transacties uitvoeren.

Volgens ThreatFabric heeft de Vultur-malware het daarbij vooral op Britse en Nederlandse gebruikers gezien en zou mogelijk al 100.000 gebruikers hebben besmet. Recover Audio, Images & Videos is nog steeds in de Play Store te vinden, wat ook voor verschillende andere van de apps geldt.