Android: een beerput vol malware

Naar verwachting zal aan het eind van dit jaar de helft van alle smartphones op Android draaien. Tegen die tijd heeft Android iOS ingehaald, de huidige marktleider voor dergelijke apparatuur. Android smartphones (en tablets) behoren echter ook tot de minst veilige, voornamelijk vanwege het feit dat de Android Market vol met Trojaanse paarden en andere malware zit die zich voordoen als legitieme apps. Deze week werd bekend dat Google nog een dik dozijn van dergelijke malware apps verwijderd heeft, maanden nadat ze de onbewaakte Android Market binnen waren getreden.

Lees ook:
Is Android klaar voor zakelijk gebruik?
Android doet alarmbellen rinkelen
Ontwikkelen voor iPhone of Android?
Android is als Windows: een slechte imitatie

Net als een besturingssysteem voor desktops is Android open voor apps. Naarmate zijn marktaandeel groeit wordt het besturingssysteem steeds interessanter voor cybercriminelen - ook omdat Apple's iOS grotendeels beschermd was tegen dergelijke aanvallen dankzij de strenge controle over wat er in de App Store wordt geplaatst. Hoewel iOS niet immuun is, ligt het aantal geslaagde infiltraties van malware in de App Store erg laag.

Gebruikers omzeilen de beveiligingen van Android

Het enge aan de malware-poel in de Android Market is dat er technisch gezien niet veel aan het probleem kan worden gedaan. Je kunt een Android apparaat niet echt isoleren zoals dat kan met het BlackBerry OS of iOS. En het beveiligingsmechanisme dat Google in Android heeft ingebouwd is eenvoudig te omzeilen - door gebruikers, die maar al te graag malware apps de toestemming geven die door Android OS vereist wordt om informatie te benaderen die zowel op het apparaat zelf staat opgeslagen als in andere apps op het apparaat.

“Het besturingssysteem vraagt aan de gebruiker of er toegang verleend mag worden, en dan klikken gebruikers net zo lang op OK totdat ze bij de beloofde app of dienst aankomen," zegt Claus Villumsen, CTO bij de mobiele beveiligingsfirma BullGuard. Erger nog, er is een aanval die deze permissieverzoeken helemaal omzeilt via een gat in de mobiele browser Chrome, merkt hij op.

Doordat er zich zoveel legitiem uitziende malware apps op de Android Market bevinden is “Android dé aanlevermethode voor spyware en Trojans," zegt Villumsen. Wanneer de gebruiker de malware eenmaal toestemming heeft gegeven om alles te openen en hij erachter komt dat de app niks doet, of erger nog, als het daadwerkelijk een spelletje biedt of wat dan ook zodat je geen idee hebt dat je voor de gek bent gehouden, is het te laat: “Je kunt net als met een pc een 'bot' worden. Ze sturen SMS-berichten naar betaalde diensten zodat jij met de rekening komt te zitten. Ze kunnen je SMS in de gaten houden en berichten verwijderen, en bovendien kunnen ze lokale data lezen en verzenden, zoals je bankgegevens en foto's."

Windows en Mac OS X hebben met hetzelfde probleem te kampen - gebruikers die hun hersencellen uitschakelen wanneer ze met toegangsverzoeken worden geconfronteerd. Maar met mobiele besturingssystemen is het nog erger, merkt hij. Wanneer iemand een mobiel apparaat gebruikt, is hij of zij veel eerder geneigd “ja" te zeggen dan op een computer - en daar is het al zo erg gesteld.

Ik heb al meermaals beveiligingsleveranciers bekritiseerd vanwege het overdrijven van veiligheidsrisico's op mobiele apparatuur om de verkoop van hun producten te stimuleren. Over het algemeen zijn mobiele apparaten een heel stuk veiliger zijn dan PC's. (Android en Nokia's wegzakkende Symbian OS zijn echte uitzonderingen, merkt Villumsen op.) En ik ben sceptisch over veel van de verkrijgbare beveiligingssoftware aan de clientzijde; de ervaringen met Windows zouden duidelijk moeten maken dat dergelijke antimalware tools altijd achterlopen op de feiten en in het beste geval de malware-infecties op je systemen verwijderen; maar beschermen doen ze je niet. Toch wordt er door de leveranciers gedaan alsof dat wel het geval is, waardoor mensen een vals gevoel van veiligheid hebben.