Android-malware bereikt een nieuw complexiteitsniveau met Fakedebuggerd, wat zich diep nestelt in afgeschermde delen van het mobiele OS. Het installeert een rootkit, plaatst eigen apps en weet zichzelf zelfs te herstellen na meerdere opruimpogingen.
De Fakedebuggerd-malware is ondanks de naam wel degelijk een echte en serieuze bedreiging, tweet CTO Rik Ferguson van beveiligingsbedrijf Trend Micro. Android-versies van 4.0 en hoger zijn kwetsbaar, wat volgens metingen van Google zelf neerkomt op 90,4 procent van alle Android-toestellen. Dat hoge percentage is de optelsom van Ice Cream Sandwich (4.0.3 - 4.0.4), de diverse Jelly Bean-versies (4.1.x, 4.2.x en 4.3) en KitKat (4.4). De allernieuwste Android-versie 5.0 (genaamd Lollipop) is niet kwetsbaar.
Meer rechten dan gewone gebruikers
Het nu rondgaande Fakedebuggerd gebruikt twee kwetsbaarheden (FramaRoot en TowelRoot) in Android 4.x om zichzelf grotere privileges te geven op kwetsbare smartphones en tablets. Daarlangs dringt de malware door tot delen van Google’s mobiele besturingssysteem die alleen toegankelijk zijn met systeem- of zelfs rootrechten. Root is normaliter afgeschermd voor gewone gebruikers. Een aanvaller kan dankzij Fakedebuggerd zijn kwaadaardige code installeren op dusdanig diep niveau dat het én vergaande mogelijkheden heeft én onzichtbaar is voor de reguliere software die immers met minder diepgaande rechten draait.
De installatie van een zogeheten rootkit maakt het mogelijk dat Fakedebuggerd opruimacties van gebruikers en securitysoftware kan overleven. De eigenlijke infectie blijft verborgen en herstelt vervolgens de eventueel wel geruimde onderdelen. De malware verzamelt gevoelige gegevens van het besmette toestel en installeert ook eigen apps, zoals een zaklamp en een agenda. Getroffen gebruikers hoeven niet misleid te worden om hiervoor permissie te geven, omdat de malware al rechten heeft die dieper gaan dan die van de gebruiker. Ook het met rootrechten verwijderen van die plots opgedoken apps voorkomt niet dat de rootkit ze later weer terugzet.
Bewezen pc-malwaretechnieken
“Dit vertegenwoordigt een serieuze escalatie in Android-malware”, stelt security-analist Yonni Shelmerdine van beveiligingsbedrijf Tripwire. “Dit is weer een voorbeeld van mobiele bedreigingen die bewezen technieken uit de wereld van pc-malware overnemen.” Die aloude technieken zijn onder meer de inzet van meerdere kwetsbaarheden voor een grotere aanval en het gebruik van methodes om te voorkomen dat de malware wordt verwijderd van een eenmaal besmet systeem.
Shelmerdine waarschuwt in zijn blogpost dat gebruikers niet alleen op hun hoede moeten zijn voor mogelijk onbetrouwbare appstores van derde partijen. Ook onbekende app-developers kunnen een risico vormen, net zoals mogelijk malafide advertenties en links die gebruikers krijgen toegestuurd. Infectie kan komen via een besmette ad of een link in een mail, sms of social bericht. Fakedebuggerd is vorige maand opgemerkt door het Chinese securitybedrijf 360.