SecuriDropper-malware 'omzeilt' beveiligingsbarrières op Android-telefoons

Volgens The Hacker News is Android-droppermalware ontworpen om te dienen als kanaal voor de installatie van schadelijke code op apparaten. Dit is een lucratief bedrijfsmodel voor aanvallers en het adverteren van deze mogelijkheid bij andere criminele groepen.

Beperkte instellingen is een beveiligingsfunctie die in Android 13 is geïntroduceerd om te voorkomen dat apps die niet in de Google Play Store staan, toegang krijgen tot Toegankelijkheid en de Notificatielistener. Als een app deze machtigingen aanvraagt, waarschuwt Beperkte instellingen gebruikers direct en voorkomt dat ze deze machtigingen aan de app verlenen.

Volgens de heer Vu Ngoc Son, technisch directeur van het Vietnamese nationale cybersecuritytechnologiebedrijf NCS, is toegankelijkheid het recht dat in het verleden is gebruikt door een reeks malware die zich voordeed als applicaties van overheidsinstanties om telefoons te controleren en geld te stelen van gebruikers in Vietnam. In gevallen waarbij slachtoffers in slechts enkele minuten meer dan 2 miljard VND verloren, is dit recht zelfs al misbruikt. Deze malware kan alleen doordringen op telefoons met Android 12 of lager, terwijl ze op telefoons met Android 13 of 14 worden gedetecteerd en geblokkeerd door de beperkte instellingen.

De nieuwe techniek die de hackers in SecuriDropper gebruiken, is echter om het installatieproces op te splitsen in verschillende stappen. Eerst wordt nepsoftware – zonder speciale toestemming – misleid om op het apparaat van het slachtoffer te worden geïnstalleerd. Vervolgens roept de software Android API's aan om een ​​Google Play-installatiesessie te simuleren, waardoor malware op de telefoon kan worden geïnstalleerd en de beperkte instellingen kunnen worden omzeild.

De penetratiemethode van SecuriDropper omzeilde de beveiligingsbarrières van Android 14

De malware kan nu toestemmingen voor Toegankelijkheid en Meldingslistener opvragen zonder dat het besturingssysteem dit detecteert of blokkeert. Zelfs gebruikers die zijn geüpgraded naar de nieuwste Android 14-versie, kunnen via deze methode nog steeds door malware worden aangevallen.

ThreatFabric, een cybersecuritybedrijf uit Nederland, meldt dat het banking trojans zoals SpyNote en ERMAC heeft waargenomen die via SecuriDropper worden verspreid op phishingwebsites en externe platforms zoals Discord.

In reactie op The Hacker News meldde Google dat Beperkte Instellingen een extra beschermingslaag toevoegt naast de toestemming van de gebruiker, die vereist is om apps toegang te geven tot Android-instellingen/-machtigingen. Gebruikers worden ook beschermd door Google Play Protect, dat apps kan waarschuwen of blokkeren die zich gevaarlijk gedragen op Android-apparaten die gebruikmaken van Google Play Services. Google evalueert voortdurend aanvalsvectoren en verbetert de verdediging van Android tegen malware om gebruikers te beschermen.

Om uzelf te beschermen tegen aanvallen, adviseert de heer Vu Ngoc Son Android-gebruikers om geen APK-bestanden te downloaden van onbetrouwbare bronnen.

Bronlink: https://thanhnien.vn/ma-doc-securidropper-qua-mat-hang-rao-an-ninh-tren-dien-thoai-android-185231107110110736.htm