Nieuwe trojan teistert honderdduizenden Android-gebruikers

Onderzoekers melden dat trojan ‘Fleckpe’ inmiddels op meer dan 620.000 Android-toestellen draait. De malware was ook te vinden in apps uit de Google Play Store.

Beveiligingsonderzoekers van Securelist, een dochterbranche van Kaspersky, schrijven dat de trojan sinds 2022 actief is op Android. De eerste onderzoeken wijzen erop dat de malware op honderdduizenden apparaten werd geïnstalleerd. Minstens 11 apps uit de Play Store, met bij elkaar meer dan 620.000 downloads, waren met de malware geïnfecteerd. Onder die apps vallen onder andere fotogalerijen en apps waarmee je achtergronden kunt downloaden en instellen.

Volgens de onderzoekers verwijderde Google intussen de geïnfecteerde apps uit zijn appwinkel. Of daarmee alle apps die de trojan bevatten zijn uitgeschakeld, is daarmee niet overigens zeker. Het is zodoende mogelijk dat het aantal werkelijke infecties hoger ligt dan het tot nu toe gekende aantal.

Zo werkt Fleckpe op Android
Apps geïnfecteerd met Fleckpe werken eigenlijk zoals je zou verwachten. Gebruikers die de trojan-apps installeerden, merkten daarom niet meteen dat het foute boel is. “Subscribtion trojans”, zoals Kaspersky ze noemt, werken immers in de luwte. Zonder dat gebruikers daar weet van hebben verzamelt Fleckpe onder meer provider- en locatiegegevens. Op basis van die gegevens stuurt de server van de kwaadwillende een onzichtbare abonnementspagina door naar het toestel.

Die pagina wordt geopend, ingevuld en vervolgens bevestigd door de trojan, waarna het slachtoffer vastzit aan betalende diensten. Markant is dat de malware zelfs ongezien sms-berichten ontvangt, opent en verwerkt. Die berichten dienen vaak ter bevestiging van het aangaan van abonnementen.

Meer recente versies van de trojan maken het bovendien lastiger voor antimalware-toolkits om de trojan te ontdekken. Daarvoor werd een groot deel van de code aangepast naar standaard Android-principes om zo min mogelijk op te vallen. Ook ontdekten de onderzoekers dat de Fleckpe-trojan de telecomgegevens van Thailand in de code heeft verwerkt. Vermoed wordt dat de malware dan ook werd ontwikkeld om gebruikers in het Oosterse land aan te vallen.

Kijk uit voor deze apps
Google verwijderde intussen de elf geïnfecteerde apps uit de Play Store. Daarmee verdwijnen ze echter niet direct van je smartphone. Controleer daarom of je één van de volgende apps op jouw telefoon hebt staan. Kijk dan gerust ook eens of malware die eind april werd ontdekt op jouw toestel draait.

Com.impressionism.prozs.app
Com.picture.pictureframe
Com.beauty.slimming.pro
Com.beauty.camera.plus.photoeditor
Com.microclip.vodeoeditor
Com.gif.camera.editor
Com.apps.camera.photos
Com.toolbox.photoeditor
Com.hd.h4ks.wallpaper
Com.draw.graffiti
Com.urox.opixe.nightcamreapro
Staat of stond één van de bovenstaande apps op jouw smartphone? Houd dan de afrekening van je mobiele provider in de gaten en neem contact met ze op als je vreemde bedragen ziet staan.