Onderzoekers hebben in de Google Play Store malware ontdekt die speciaal aangepast is voor Samsung-telefoons. Dat meldt securitybedrijf Threatfabric. De malafide app deed zich voor als een 'cleaner' programma voor het opschonen van de smartphone. In werkelijkheid was het een 'dropper' app die de uiteindelijke malware installeert. Daarbij vroeg de malafide app om toegang tot de AccessibilityService.

In eerste instantie vertoonde de app geen malafide activiteit en gebruikte de AccessibilityService ook niet voor verkeerde doeleinden. Een week na de release ontving de app echter een update die de kwaadaardige code introduceerde. Deze update veranderde de functionaliteit van de AccessibilityService. Op deze manier kon de malafide app zonder interactie van gebruikers op allerlei knoppen klikken en zo de uiteindelijke malware installeren.

Volgens de onderzoekers is een uniek aspect van deze dropper dat de malafide code specifiek op Samsung-telefoons is gericht. De AccessibilityService was speciaal aangepast voor de gebruikersinterface van Samsung-telefoons, wat inhoudt dat alleen Samsung-gebruikers in dit deel van de aanval geraakt werden. "Dit suggereert dat de aanvallers hun code in eerste instantie alleen voor Samsung-apparaten hebben ontwikkeld en getest", aldus de onderzoekers.

Via de dropper kan de Anatsa banking Trojan op smartphones worden geïnstalleerd, waarmee criminelen vanaf de besmette telefoon bankfraude kunnen plegen. Volgens Threatfabric moeten banken hun klanten wijzen op de risico's van het installeren van applicaties, ook vanuit officiële appstores, en ze waarschuwen voor het inschakelen van de AccessibilityService bij apps die het niet nodig voor hun beoogde doel hebben.