Android-malware zet stiekem een verborgen menu aan: zo zie je of het bij jou openstaat
Tech, AI, auto
Zes cijfers op je eigen scherm. Meer heeft de nieuwe Android-malware
RatHat niet nodig om zichzelf diep in je telefoon te nestelen, en daarna
je bank-app te bespioneren. De sleutel ligt in een verborgen menu dat de
meeste mensen nooit openen: de ontwikkelaarsopties.
Zo kaapt RatHat je telefoon via een verborgen menu
Beveiligingsbedrijf Zimperium beschreef de malware half september in
een uitgebreide
analyse. Het begint met een app die je zelf installeert, buiten de
Google Play Store om. Malwarebytes zag dat de makers die verspreiden via
sms’jes en advertenties die naar een nagemaakte downloadpagina leiden,
soms vermomd als Chrome of een bekende streamingapp.
Daarna gaat het in stappen:
- De app vraagt toegang tot de toegankelijkheidsfuncties, met een smoesje over een netwerkbeperking of een beloofde beloning. Die functies zijn bedoeld voor mensen met een beperking en laten een app op knoppen drukken en je scherm lezen.
- Met die rechten opent RatHat zelf de ontwikkelaarsopties en zet draadloze foutopsporing aan, een functie waarmee programmeurs een telefoon draadloos aan hun computer koppelen.
- De malware leest de zescijferige koppelcode van het scherm en koppelt zichzelf. Zo krijgt hij rechten die een gewone app nooit krijgt.
Volgens Zimperium vraagt RatHat een AI-assistent waar hij op je
scherm moet tikken of scrollen. Daardoor werkt hij op allerlei
toestellen en is hij lastiger te herkennen voor
beveiligingssoftware.
RatHat gebruikt AI om de telefoon slim en live te besturen.- Zimperium, beveiligingsbedrijf
Wat de malware met je bank-app doet
Eenmaal binnen legt RatHat nagemaakte inlogschermen over bank-,
crypto- en betaalapps. Zo vangt hij gebruikersnamen, wachtwoorden en
eenmalige codes af. Ook leest hij sms’jes en meldingen mee en
reconstrueert hij je pincode of ontgrendelpatroon uit de plekken waar je
op het scherm tikt, schrijft Bleeping Computer.
Verwijder je de app, dan breekt RatHat het af met een nep-foutmelding
in de stijl van Google Play. Een verborgen achtergrondprogramma zet hem
bovendien terug. Zimperium noemt geen Nederlandse banken als doelwit en
spreekt van “wereldwijde financiële doelen”.
Check het in twee minuten
De Android-documentatie
van Google legt uit waar het menu zit. Normaal zet je het alleen aan
door zeven keer op het buildnummer te tikken.
- Samsung: open Instellingen en scrol helemaal naar beneden. Staat daar Opties voor ontwikkelaars, dan is het menu aan.
- Google Pixel: Instellingen, Systeem, Opties voor ontwikkelaars.
- Andere toestellen: zoek in Instellingen op “ontwikkelaar”.
- Gebruik je het menu niet, zet dan de hoofdschakelaar bovenaan uit.
- Controleer ook of draadloze foutopsporing en USB-foutopsporing uitstaan.
- Kijk onder Instellingen, Toegankelijkheid welke geïnstalleerde apps je scherm mogen lezen of bedienen. Een zaklamp of streamingapp hoort daar niet tussen.
Staat het menu aan, dan is je telefoon niet meteen besmet. Veel
mensen zetten het zelf aan, bijvoorbeeld om animaties te versnellen.
Eerder schreven we al dat één
klik op een nep-sms meestal nog geen ramp is; het gevaar zit in de
app die je daarna installeert.
Op basis van onze huidige detectie staan er op Google Play geen apps met deze malware.- Google, woordvoerder
Vermoed je een besmetting? Doe dit
- Bel je bank via het nummer op je bankpas en laat je rekening blokkeren. Een echte bankmedewerker vraagt je nooit om codes of een app, zoals de zaak van de nepbank met dertig slachtoffers liet zien.
- Verander je wachtwoorden vanaf een ander apparaat.
- Zet je telefoon terug naar fabrieksinstellingen. Malwarebytes zegt dat alleen de app verwijderen niet genoeg is, omdat RatHat zichzelf herstelt.
Meer weten?
POPULAIR NIEUWS
Ramen aan de buitenkant beslagen na een heldere nacht? Dan doet je glas het juist goed
Zoveel kinderbijslag krijgen een Belg, een Duitser en jij per kwartaal
Een thuisbatterij vóór januari kopen? Reken eerst deze drie scenario’s door
De Lelijke Eend is terug als elektrische Citroën: wat is er nog over van de oude?
Rook uit je warmtepomp na de eerste vorstnacht? Dat is geen storing, maar bel wél als je dit ziet
