Android rootkit wordt met belletje in werking gezet
Gepubliceerd: Woensdag 2 juni 2010
Auteur: Robert McMillan
In de hoop om te leren begrijpen hoe een nieuwe genaratie van mobiele malware er uit zal zien, hebben onderzoekers een rootkit programma geschreven voor Android. Volgende maand zullen ze die demonstreren op de Defcon hacking conferentie in Las Vegas.
Als de rootkit eenmaal is geïnstalleerd op de Android telefoon, dan kan hij geactiveerd worden door een telefoontje of een sms, waarmee aanvallers een verborgen en moeilijk te ontdekken tool in handen krijgen voor het onderscheppen van data van de telefoon of het aansturen van de gebruiker. "Je belt naar de telefoon, de telefoon gaan niet over, en als de telefoon zich realiseert dat het wordt opgebeld door het telefoonnummer van de hacker, dan stuurt het hem een shell", zegt Christian Papathanasiou, een beveiligingsconsultant van Trustwave, het bedrijf dat het onderzoek heeft gedaan.
In de Linux kernel
Rootkits zijn onzichtbare programma's die ontworpen zijn om hun sporen uit te wissen zodat ze niet ontdekt worden. Ze bestaan al jaren voor Windows en Unix, maar afgelopen tijd hebben onderzoekers er ook mee geëxperimenteerd op mobiele platformen. Het moeilijke van het schrijven van een rootkit voor Android is dat je moet uitvinden hoe je je voordeel kunt doen met de nieuwe mobiele features, terwijl het toch zonder problemen draait op het nieuwe platform, aldus Papathanasiou.
Omdat de rootkit draait als een module in de Linux kernel van Android heeft die het hoogste niveau aan toegang tot de telefoon, en kan het een heel krachtige tool zijn voor de aanvallers. Het kan bijvoorbeeld worden gebruikt om het telefoontje naar 112 te leiden naar een ander nummer. De rootkit kan ook de locatie van het slachtoffer bepalen, of de browser van de telefoon naar een kwaadaardige website leiden. "Omdat we diep in het systeem zitten zijn de mogelijkheden voor misbruik eindeloos", stelt Papthanasiou.
Op de markt
Op zichzelf vormt de rootkit trouwens geen enkele bedreiging voor gebruikers van Android. Dat komt doordat de aanvaller eerst uit moet vinden hoe hij de software moet installeren op de telefoon van zijn slachtoffer. Dat kan hij doen door de rootkit in te bouwen in een applicatie die vervolgens wordt verkocht in de Android Market, of door het uitbuiten van een nieuwe ongepatchte bug in de Linux kernel van Android, waardoor het programma geïnstalleerd kan worden. Maar dat zijn behoorlijke struikelblokken.
