Er is geen stoppen aan: Android is de wedloop om het populairste mobiele besturingssysteem genadeloos aan het winnen. Het marktaandeel van Android is momenteel bijna 83%. Voor een deel is dit omdat het belangrijkste alternatief (de iOS van de iPhone) gepaard gaat met veel hogere kosten. Door een gezonde concurrentie in de Android-markt, worden de toestellen van A-merken als Samsung, Sony en HTC steeds geavanceerder, de specs worden steeds beter en de prijzen worden steeds schappelijker. Bovendien zijn er een heleboel B- (of C-)merken die vaak ook hele goede specs bieden en die ronduit goedkoop zijn. Dit soort veelal onbekende merken zijn te vinden op e-commercesites als Amazon, eBay en Alibaba. Je kunt een goedkope kloon van de nieuwste modellen van de A-merken vinden voor prijzen tussen de €100 en €300. Het is begrijpelijk dat veel mensen dit een aantrekkelijke mogelijkheid vinden. Ook ondernemers die genoeg hebben van de problemen rondom BYOD en besluiten hun werknemers uit te rusten met telefoons zien grote voordelen van voordelige Android-toestellen. De investering is beperkt en je kunt alle toestellen met een Mobile Device Management-oplossing beveiligen en beheren.
Er is echter een probleem. Vorig jaar ontdekten de onderzoekers van het G DATA SecurityLab dat er op zo’n telefoon malware stond. Die was er niet opgekomen door gebruik van het toestel. Nee, de malware stond al geïnstalleerd op het toestel bij levering aan de klant. En omdat de malware in de firmware was verwerkt, was het niet mogelijk om de malware te verwijderen. Het ging toen om de Star N9500, een model dat zowel in Europa als in de VS werd aangeboden via internet. Nadat we dit feit wereldkundig hadden gemaakt, bleek dit geen op zichzelf staand incident. Er bleken nog in elk geval twee andere modellen te zijn (Star N8500 en IceFox Razor) die standaard worden geleverd met spyware in de firmware. Daarnaast blijken er minimaal 26 modellen te zijn van verschillende Aziatische fabrikanten (waaronder ook de bekende merken Lenovo, Huawei en Xiaomi) die aan klanten zijn geleverd met malware in de firmware. Uit nader onderzoek van deze telefoons en gesprekken met de fabrikanten van de toestellen is naar voren gekomen dat deze modellen niet standaard met malware zijn geleverd, maar dat er sporadisch geïnfecteerde modellen opduiken. De geïnfecteerde modellen zijn altijd via handelaars op platforms als eBay en Alibaba geleverd. De conclusie is dan ook dat er bepaalde wederverkopers zijn die een aardig zakcentje bijverdienen door deze smartphones te jailbreaken, de firmware te vervangen door firmware waar spyware in verwerkt zit en de smartphone vervolgens weer te rooten, zodat de spyware niet meer kan worden verwijderd door de uiteindelijke gebruiker.
De geïnstalleerde malware of spyware heeft vervolgens zo goed als volledige toegang tot het toestel. De malware kan de GPS aanzetten en zo aan zijn baas rapporteren waar de telefoon zich te allen tijde bevindt. Ook kan de camera worden geactiveerd, zodat de omgeving kan worden gefilmd en worden doorgespeeld aan het Command & Control Center. Ook kan de audio worden opgenomen. De malware heeft ook voldoende rechten om zelf apps (of malware) te downloaden en te installeren. De malware is ook gemachtigd om dure sms’jes naar premiumnummers te sms’en. Kortom, de privacy van de gebruiker is met deze malware compleet uitgevaagd en door de betaalde sms’jes kan hem de goedkope telefoon nog duur komen te staan.
Van 26 modellen is het onderzoek van het G DATA SecurityLab afgerond en zijn de conclusies getrokken. Verontrustender is dat er momenteel nog meer dan 200 modellen zijn die nog onderzocht worden. We weten nu nog niet hoe het met deze smartphones zit, maar dat er zich malware in de firmware bevindt, is zo goed als zeker. Aangezien een gebruiker dit niet zo maar voor elkaar krijgt (dit is echt een moedwillige actie waarbij de telefoon niet alleen gejailbreakt moet worden, maar ook nog eens doelbewust de firmware moet worden aangepast, niet iets dat een gebruiker zelf zal doen), bestaat er een sterk vermoeden van voorinstallatie. Of dit in de fabriek is gebeurd, of ergens in het verkoopkanaal, dat is nog niet duidelijk. Duidelijk is in ieder geval wel dat het absoluut niet gegarandeerd goed gaat als een consument een (goedkope) Android-telefoon koopt via een online handelaar.
Een belangrijke tip, die (bonafide) fabrikanten van smartphones geven aan kopers is om alleen een pakket met een officiële, onbeschadigde fabriekszegel te accepteren. Op die manier kun je er zeker van zijn dat er niet ergens in het verkoopkanaal met de telefoon geknoeid is.
Voor wie daar niet goed op heeft gelet en nu wil weten of er malware op de firmware van zijn smartphone staat, is het niet heel eenvoudig om dit te achterhalen. De malware verbergt zich in apps die vertrouwd worden, zoals Google Drive en Facebook. De enige methode om uitsluitsel te krijgen is door een virusscan uit te voeren met een scanner die dit soort malware herkent. Van G DATA Internet Security voor Android staat in elk geval vast dat deze dit soort rommel herkent.
Overigens ben je als Android-gebruiker nog lang niet verzekerd van veiligheid als je een toestel hebt gekocht waar geen malware op de firmware staat. In het tweede kwartaal van dit jaar werd er elke 14 seconde een nieuw stuk Android-malware ontdekt. Dus ook voor bezitters van A-merken ligt het malware-gevaar op de loer. Ook voor deze gebruikers is het dus verstandig om een beveiligingsapp te installeren om smartphones veilig te houden.
Dirk Cools, Country Manager G DATA Benelux
