Pas op: deze McAfee Security-app is eigenlijk malware
Beveiligingsonderzoekers van het gerenommeerde Fox-IT beschrijven de opkomst van de zogeheten Vultur-malware. Vultur werd in 2021 voor het eerst verspreid op Android-telefoons. Sindsdien is de malware flink geëvolueerd, zoals de onderzoekers beschrijven in een blogpost. Zo is het voortaan in staat om bestanden te downloaden, uploaden, te verwijderen en te zoeken. Nieuw is ook dat hackers besmette apparaten kunnen bedienen via Android Accessibility Services. Dat houdt in dat er via commando’s acties als vegen en scrollen kunnen worden uitgevoerd.
Nepversie van McAfee Security
Voor de verspreiding van de malware vertrouwen de ontwikkelaars op nietsvermoedende gebruikers. Zij worden via een sms-campagne misleid om een nepversie van McAfee Security te installeren. Die sms’jes wijzen de slachtoffers erop dat er een betaling plaatsvond die niet helemaal pluis is. Om dat op te lossen, moet men een telefoonnummer van de aanvallers bellen. Daarbij wordt ze verteld dat het installeren van de McAfee Security-app alle problemen moet oplossen.
Gezien McAfee voor veel gebruikers een bekende naam is, trappen ze erin. Wat ze niet weten is dat ze eigenlijk malware op hun smartphone installeren. Die malware bestaat zelf ook weer uit drie onderdelen, elk met hun eigen doeleinde.
- Pakket 1: verschaft toegang tot Android Accessibility Services.
- Pakket 2: geeft de aanvallers toegang tot de telefoon (op afstand), inclusief toegang tot functies als schermopname.
- Pakket 3: start communicatie met de Command-en-Control-server (C2) en activeert alle FCM-commando’s.
Als het proces is afgerond, hebben de criminelen volledige toegang tot je systeem. Hier zal je zelf maar weinig van merken: alle processen worden op de achtergrond uitgevoerd. Hierdoor kan de hacker ongezien meekijken als je bijvoorbeeld betaalopdrachten uitvoert via je bank. Die gegevens kunnen ze vervolgens onderscheppen en misbruiken. Zodoende kan deze aanval je ook daadwerkelijk geld kosten.
Apps buiten de Play Store
Gebruikers kunnen zich relatief gemakkelijk beschermen tegen deze aanval. Om de aanval uit te kunnen voeren, moet je namelijk een app installeren die niet in de Google Play Store staat. De aanvaller stuurt je de schadelijke McAfee-app via een los APK-installatiebestand. Op dat moment moeten direct alarmbellen afgaan: tenzij je de ontwikkelaar kent, is het af te raden apps te installeren die niet in de Play Store staan.
Er staan bovendien voldoende virusscanners in de Play Store; ook die van McAfee. Kortom: maak je je zorgen over een potentiële dreiging, dan kan je altijd in Googles appwinkel een virusscanner zoeken.
