Giv agt: Ondsindede kloner af Android apps kan koste dig dyrt

Symantec advarer nu om, at hackere i stigende grad stjæler Android apps og ændrer på kildekoden, så programmet i al hemmelighed tapper penge af din mobilregning.

Stadig flere hackere kaprer Android apps for at gemme malwarekoder i programmets kildekode. Malwaren sender typisk tekstbeskeder til dyre udenlandske numre, som i værste fald kan trække store summer fra din mobilregning.
Sådan advarer sikkerhedsmanager Vikram Thakur fra Symantec i et interview med Infoworld.

Noget malware kan være så udspekuleret, at det ud over at sende dyre tekstbeskeder også blokerer for indkommende beskeder. På den måde kan brugeren ikke modtage advarsler fra udbyderen, når telefonregningen går amok.

Senest var det Android app'en Steamy Window, der blev udsat for malwareangreb. Her har man anvendt den såkaldte Android.Pjapps, der er en trojansk virus med de samme egenskaber, som Vikram Thakur advarer imod.

Grunden til, at Symantec særligt advarer om Android apps, er, at det er muligt for brugerne, at downloade og installere software fra tredjepartsbutikker på nettet ? modsat for eksempel Apples mere kontrollerede App Store.

Det forhold gør det særligt attraktivt for hackere, da det bliver lettere for dem at stille de modificerede programmer til rådighed for brugerne på de uautoriserede hjemmesider. Derfor advarer Vikram Thakur også brugerne om at hente apps fra disse hjemmesider.

»At downloade en app fra en af disse tredjepartshjemmesider, er som at downloade et Windows-program fra en pirathjemmeside,« siger Vikram Thakur til Infoworld.

Tips og korrekturforslag til denne historie sendes til tip@version2.dk
Kommentarer (16)
sortSortér kommentarer
  • Ældste først
  • Nyeste først
  • Bedste først
#10 Jakob Damkjær

http://dilbert.com/strips/comic/1996-09-07/

Den eneste måde at sikre en computer fuldstændigt på er at koble den fra netværk og låse den inde i et tempest sikret rum uden vinduer og helst uden døre. Der er dog et par begrænsninger ved at bruge den...

At overlade sikkerheds beslutninger til almindelige brugere er en opskrift på dårlig sikkerhed. Det er fint for de brugere der er superbrugere og kan skelne mellem hvad der er sikkert og hvad der ikke er sikkert, men det er empirisk bevist at det ikke er tilfældet med brugere der ikke er interesseret i at nørde men bare vil bruge sine apps...

/J

  • 0
  • 0
#11 Jesper Stein Sandal

Hvis De Gule Sider har brug for at ringe bare for at slå et telefon nr op, -- så mistænker jeg dem for at ville tjene penge på en ting som burde være gratis.

Du mener altså, at sådan en app ikke kunne indeholde muligheden for, at du kan søge på et nummer, og så ringe op direkte fra app'en? I stedet skal du kopiere nummeret eller huske det?

Din regel er en god tommelfingerregel, men jeg vil omformulere den fra "ingen app skal kunne ringe" til "hvorfor behøver denne app at kunne ringe?". Hvis der ikke er et indlysende svar, så kan man nok finde en anden app, der tilbyder samme funktionalitet, som ikke kræver unødvendig adgang.

  • 0
  • 0
#12 Jesper Nielsen

Hvis De Gule Sider har brug for at ringe (eller SMSe) bare for at slå et telefon nr op, -- så mistænker jeg dem for at ville tjene penge på en ting som burde være gratis. Derfor vil jeg ikke svarer ja til "APPen må gerne ringe".

Højst sandsynligt skal en DGS-app bruge "Make Calls"-tilladelsen til at tilbyde en "Click to call this number"-funktion.

  • 0
  • 0
#14 Morten Grouleff

Mange af denne slags problemer ville kunne opdages meget hurtigere, hvis man på ens telefon kunne se hvor meget trafik på 3g/wifi ens programmer hver især har brugt. På samme måde kunne man nok have glæde af at kunne spore i kernens "afsendt sms-log" hvilket program, der afsendte sms'en. Find selv på flere relevante log-events...

Det burde være let for Android-kernen at holde styr på disse data, og umuligt for applikationerne at manipulere med dem.

Jeg har større tillid til at brugerne kan opdage problemer end såkaldt anti-malware. Det forudsætter at vi udstyres med troværdige data om hvad programmerne faktisk gør, og det burde blive muligt på Android. Men API'et synes at mangle :(

  • 0
  • 0
#15 Jakob I. Pagter

Ja, - meeen lægere nede kan du læse at Google har slettet APPen fra alle telefoner da de bliver opmærksom på problemet. (Med et delay på ca 5min.)

Yeps, - meeen argumentet var vel at al snak Android malware mestendels er FUD.

Hvad angår delay'et på ca. 5 min, så er et mindst ligeså interessant tal vist de 4 dage der gik før det blev opdaget.

  • 0
  • 0
#16 Lasse Reinholt

Altså hvis en App siger jeg har brug for at ringe, så lade være med at installere den.

Problem her er, at alvorlige permissions præsenteres ligestillet med bagatelagtige permissions.

Kategorien "Tjenester, der koster dig penge" ("Ring direkte op til telefonnumre", "Send SMS", ...) fremvises grafisk/layoutmæssigt på samme måde som fx "Fuld Internetadgang".

Men "Fuld Internetadgang" er noget, næsten samtlige applikationer kræver. Derved drukner sikkerheden, når brugeren hver gang bare præsenteres for en ensartet opremsning af en masse ting.

De burde i stedet have tænkt: Hvad er worst case, når en ondsindet applikation har adgang til vibratoren (en anden bagatelagtig permission)? Det er, at den ligger og opbruger batteriet ind til brugeren opdager det. Og hvad så? Lad os skrive den med mindre skrifttype eller fjerne denne advarsel helt.

  • 0
  • 0
Log ind eller Opret konto for at kommentere