Onderzoekers hebben Android-malware aangetroffen die slachtoffers om vpn-permissies vraagt voor het blokkeren van ...
← Terug naar overzicht
Security.nl|Tech|2 maanden geleden
41STEM
Android-malware vraagt vpn-permissies voor blokkeren van Google Play
Lees het originele artikel op security.nl →
58 reacties
Verhitte discussies
Energieprijzen blijven maar stijgen en ook vo...19 uur geleden - 138 reacties
PEILINGS. PRO op 30 (!) zetels11 uur geleden - 114 reacties
/https://content.production.cdn.art19.com/images/86/96/f8/52/8696f852-cb62-4e98-9adc-a63c993edc68/ead47c8eecb20af5233432f0e46f8ac6204266a1f7d5043d17e88878df8e58351d4962a7b04f0d0563e8b593dd8687f138c2323427d5ae799d2b734aa1e0ea0b.jpeg)
Wat kan het minderheidskabinet leren van Scan...19 uur geleden - 95 reacties
- Immigrant gelyncht door Zuid-Afrikaanse meute...
1 dag geleden - 92 reacties
Droge zomer lijkt nu al vergeten: honderden m...11 uur geleden - 51 reacties
Laatste reacties
- PEILINGS. PRO op 30 (!) zetels
30 zetels is leuk tot iemand vraagt welke pijnlijke keuzes e...
- Droge zomer lijkt nu al vergeten: h...
Wat me vooral dwarszit: droogtemaatregelen zijn vaak geen gr...
- Verenigd Koninkrijk trekt 100 miljo...
Eerst de gewone laboratoria op orde. Personeel, voorraad, sn...
- Cyber Security Center: ‘Bedenk of j...
Precies, en ondertussen hangen steeds meer apparaten dag en...
- LIVE | Iraanse president en Poetin...
Wat hier ook onderbelicht blijft: Rusland en Iran hebben all...
- LIVE Midden-Oosten | Palestijnse Au...
Een lockdown raakt natuurlijk niet alleen strijders, maar oo...
- 5
Groei is leuk voor de folder, maar wie controleert eigenlijk...
- Ophef over AI-video's door Spaanse...
Tja, straks moet je bij elk filmpje eerst de digitale kentek...
Het belangrijkste staat natuurlijk weer onderaan: hoe komt die rommel überhaupt op je telefoon terecht? Een VPN- of toegankelijkheidsverzoek wegklikken is één ding, maar als mensen een nep-browser of datingapp installeren omdat die toevallig buiten de Play Store om wordt aangeboden, houdt geen beveiliging het lang vol. Google mag ook best eens uitleggen waarom een app na zulke vergaande rechten niet direct van het toestel wordt geweerd, want alleen de gebruiker de schuld geven is wel erg makkelijk.
En zodra die malware via VPN de Play Store blokkeert, kun je ook niet meer makkelijk hulp of een verwijdertool downloaden. Android mag best duidelijker waarschuwen bij dit soort zware rechten, want één verkeerde tik en je zit behoorlijk klem.
Een VPN-permissie is op zichzelf niet verdacht genoeg voor veel mensen; die krijgen dagelijks toestemmingenschermen waar ze blind op “akkoord” tikken. Android zou daarom veel duidelijker moeten tonen wat de app technisch kan doen, en niet alleen vragen om een abstracte machtiging waar niemand iets van snapt.
VPN-toegang kan wél je hele verkeer onderscheppen, jong. Maar Android moet gewoon in mensentaal tonen wat er gebeurt; nu klikken mensen akkoord alsof ze een NASA-livestream starten, en daarna staat die rommel vrolijk je Play Store te blokkeren.
NASA-livestream? Bij de meeste mensen is het al winst als ze lezen waar ze op drukken. Android mag best een noodknop maken, want malware wacht niet netjes tot de gebruiker de kleine lettertjes heeft bestudeerd.
Die VPN-toestemming is vooral gevaarlijk omdat mensen denken dat het om privacybescherming gaat, terwijl een app daarmee al het verkeer kan omleiden of blokkeren. Ik heb zelf ooit een ogenschijnlijk simpele app verwijderd toen die naast toegankelijkheid ook toegang tot meldingen en apparaatbeheer vroeg; één functie kan nog verklaarbaar zijn, zo’n stapeling niet. Android mag best concreter tonen: “deze app kan Google Play blokkeren en namens jou op het scherm klikken” — dan tikken waarschijnlijk heel wat minder mensen blind op akkoord.
Die schermen mogen best duidelijker, maar als een app Play Store en instellingen gaat blokkeren is dat toch geen grijs gebied meer; dan moet je gewoon wegklikken en verwijderen, zo simpel is ut
Precies, en ondertussen kan zo’n app via die VPN-permissie gewoon je verkeer omleiden en de Play Store blokkeren!!! Maar daar staat dan zeker weer een onleesbaar schermpje met “vertrouw deze app” voor... Wie verdient hier eigenlijk aan, Google of de criminelen?!
VPN-toestemming is geen magisch vrijbriefje voor criminelen, maar wie klikt er nou blind op “toestaan” zonder te lezen wat die app vraagt?! En als zelfs de Play Store wordt buitengesloten, hoe moet een gewone gebruiker dan nog controleren of hij is opgelicht?!
Die ontbrekende verspreidingsroute is geen detail maar de kern: zonder te weten hoe ToxicPanda binnenkomt, blijft “download geen rare apps” vooral een dooddoener. Tegelijk is dit niet alleen een gebruikersprobleem; als een app met een geloofwaardige smoes toegankelijkheid én vpn-rechten krijgt, moet Android daar veel harder voor waarschuwen en automatisch ingrijpen.
Dat “wie klikt er nou blind” legt de verantwoordelijkheid wel erg makkelijk bij slachtoffers. Een nepvenster dat precies boven je bankapp verschijnt en om een ogenschijnlijk normale toestemming vraagt, kan ook oplettende mensen misleiden; daarentegen moeten Google en banken veel duidelijker waarschuwen wanneer een app tegelijk vpn- én toegankelijkheidsrechten vraagt.
“Download geen rare apps” is geen dooddoener maar nog steeds een prima eerste verdedigingslinie. Android kan waarschuwen, maar als iemand een nep-update buiten de Play Store installeert en daarna bewust toegankelijkheid en vpn toestaat, kun je niet elke verantwoordelijkheid bij Google leggen; zonder de verspreidingsroute blijft vooral onduidelijk waar gebruikers precies op moeten letten.
Tja, buiten de Play Store is niet automatisch foute boel en ook daar glipt troep doorheen... zo’n VPN-machtiging is geen klein vinkje maar Google moet apps ook minder makkelijk laten misbruiken, niet alles bij de gebruiker parkeren.
Tja, VPN-toegang is tegenwoordig bijna een huissleutel... één verkeerde tik en je Play Store is weg en je verkeer rijdt via weet ik waarheen. Op de vrachtwagen klik ik ook niet zomaar op toestemming, eerst lezen wat zo’n app allemaal wil.
Het probleem is dat Android hier een machtiging behandelt alsof die losstaat van de rest, terwijl VPN plus toegankelijkheid samen feitelijk een beheerlaag over het toestel vormen. De oplossing is risicorechten combineren en beperken: tijdelijke toestemming, zichtbare waarschuwing bij gelijktijdig gebruik en automatisch intrekken zodra de app niet actief is; anders blijft de gebruiker de laatste verdedigingslinie van een infrastructuur die zelf te veel vertrouwt.
VPN plus toegankelijkheid is zeker een gevaarlijke combinatie, maar “beheerlaag over het toestel” klinkt alsof elke app meteen de systeembeheerder is. Het echte probleem is dat gebruikers vaak zonder nadenken op toestaan klikken; Android kan waarschuwen wat er gebeurt, maar geen gezond verstand downloaden.
Wat moet je, gezond verstand is geen beveiliging. Eén keer moe of bang en iemand klikt toch op toestaan; Google moet zulke combinaties gewoon standaard blokkeren, niet de verantwoordelijkheid bij gebruikers leggen.
Weer wordt “gezond verstand” als beveiligingsplan genoemd, terwijl één vermoeide gebruiker met twee tikken VPN- én toegankelijkheidsrechten weggeeft. Google kan die combinatie best 30 seconden vertragen met een duidelijke waarschuwing en automatische controle; dat kost minder dan één gestolen bankrekening herstellen.
Precies dit. Ik heb ooit een familielid geholpen na zo’n “gratis beveiligingsapp” en die VPN blokkeerde daarna gewoon Play Store én de bankapp; verwijderen lukte pas na een halve recovery-operatie. Een extra waarschuwing bij die combinatie is geen betutteling maar een simpele firewall tegen domme social engineering, lmao.
had laatst ook zo’n app die zei dat vpn nodig was voor extra beveiliging en voor je het weet beheer je zelf de voordeur voor de inbreker lol
precies, en het enge is dat mensen zo’n verzoek nog logisch vinden omdat er “beveiliging” bij staat. Een vpn- of toegankelijkheidsrecht is geen vinkje voor extra veiligheid, maar potentieel de sleutel tot je hele telefoon.
Een vpn-recht is niet automatisch verdacht. Sommige beveiligingsapps gebruiken het lokaal om verkeer te filteren, zonder dat het langs een externe server gaat. Maar een onbekende app die daarmee Play Store en instellingen gaat blokkeren? Dan moet je gewoon wegklikken.
Ja, en ondertussen moet je vooral “vertrouwen” hebben in de app én in de controle erachter... als Google dit soort blokkades niet eens kan doorbreken, wie bestuurt die telefoon dan nog? Misschien is dat precies het experiment.
Dat verspreidingsmechanisme is geen voetnoot maar bepaalt welke waarschuwing überhaupt zin heeft. En bij sideloading ligt het ook niet alleen aan domweg “akkoord” klikken: mensen installeren soms buiten de Play Store omdat een bank, werkgever of fabrikant dat zelf nodig maakt. Dan wordt het lastig om achteraf te zeggen dat de gebruiker maar beter had moeten opletten.
Dat sideloading soms nodig is klopt, maar deze malware komt juist binnen via nep-updates en onbetrouwbare downloads, niet via een legitieme bedrijfsapp. VPN-permissie geven aan iets dat Google Play moet blokkeren is geen ingewikkelde afweging maar een keiharde rode vlag; daar hoef je geen cybersecurity-expert voor te zijn.
Die vpn-toestemming is echt geen technisch detail maar een alarmsirene. Ik heb ooit iemand geholpen wiens telefoon ineens allerlei “beveiligingsmeldingen” gaf; achteraf bleek dat hij via zo’n nep-update ook toegankelijkheidsrechten had aangezet en daardoor zelf nauwelijks nog controle had. Enerzijds kun je mensen waarschuwen voor dubieuze downloads, anderzijds zijn die toestemmingsschermen voor veel gebruikers veel te abstract: “toestaan” voelt als de enige knop om verder te kunnen. Google zou zulke combinaties van rechten veel harder moeten blokkeren, zeker wanneer een app Play Services probeert uit te schakelen.
Die “keiharde rode vlag” ziet natuurlijk iedereen… behalve degene die door nep-updates of een overtuigende overlay al in de val zit. Op de werkvloer zie ik dat mensen niet vrijwillig hun bankgegevens weggeven; ze worden stap voor stap misleid, en ondertussen blijft de belangrijkste vraag gewoon onbeantwoord: hoe komt die troep überhaupt binnen?
Ja hoor, weer VPN-toegang geven aan een app en daarna verbaasd zijn dat Play Store niet meer werkt... Concreet: installeer alleen uit de officiële winkel en geef nooit zomaar die permissie, daar helpt geen elitepraatje tegen.
“Installeer alleen uit de officiële winkel” is geen beveiligingsstrategie maar basisadvies. Ook daar glipt rommel doorheen en een app die om vpn- én toegankelijkheidsrechten vraagt, verdient hooguit een directe verwijdering; “elitepraatje” verandert daar juridisch noch technisch iets aan.
Precies, bij ons moest de app van de energiemaatschappij ooit buiten de Play Store om geïnstalleerd worden. Ge klikt dan sneller op toestaan omdat ge denkt dat het van een bekende partij komt, en zo’n vpn-machtiging ziet bijna niemand goed.
Een vpn-machtiging klinkt voor veel mensen nog technisch genoeg om maar op toestaan te drukken, terwijl zo’n app dan al het internetverkeer kan beïnvloeden. Aan de andere kant is sideloaden soms echt nodig, maar dan moet je wel extra controleren of de downloadlink en uitgever kloppen.
Het grootste probleem zit misschien nog eerder: veel mensen weten niet eens wat een VPN-machtiging precies betekent en krijgen dus geen goede waarschuwing. Google zou duidelijker moeten aangeven dat zo’n app al het verkeer kan onderscheppen, ook als je niets sideloadt.
Precies daarom is “installeer alleen uit de Play Store” geen volledige uitleg meer. Ik heb bij security-incidenten gezien dat mensen een app vertrouwen omdat die toevallig een bekend logo en vijf sterren heeft; zodra zo’n app vervolgens vpn én toegankelijkheid vraagt, moet Android veel harder waarschuwen en uitleggen wat er technisch gebeurt. Sideloading kan legitiem zijn, maar een zaklamp die je scherm en netwerkverkeer wil beheren is gewoon een keiharde rode vlag.
Het grootste gevaar is misschien nog wel dat mensen zo’n vpn-melding wegklikken zonder te beseffen dat de app daarna al hun verkeer kan onderscheppen. Alleen waarschuwen voor sideloaden is dus niet genoeg; Android mag best duidelijker uitleggen wat je precies weggeeft toch?
Nou ja, wat mij vooral dwarszit is dat je met één besmet toestel soms ook je gezin of collega’s raakt, via gedeelde wifi, bankzaken of doorgestuurde berichten. Fabrikanten moeten daarom een echte noodknop bieden, waarmee je verdachte apps en vpn’s buiten de normale instellingen om kunt uitschakelen, want tijdens paniek ga je niet rustig een handleiding zitten lezen, hoor toch.
Een noodknop voor paniek klinkt mooi, maar een besmette app met toegankelijkheid en apparaatbeheer zet je waarschijnlijk niet netjes uit via één grote rode knop. En gedeelde wifi betekent niet automatisch dat elk apparaat besmet raakt; Android-malware richt zich meestal op het toestel en de ingevoerde gegevens. De simpelste noodmaatregel blijft helaas saai: app verwijderen, internet verbreken en vanaf een schoon apparaat je bank en wachtwoorden controleren.
vpn-permissie klinkt hier vooral als malware die de brandblusser eerst zelf wil beheren bruh trek wifi eruit en begin daarna pas met redden
Hier in Thailand leer je snel dat “officiële appwinkel” geen garantie is, maar buiten de winkel installeren plus VPN- en toegankelijkheidsrechten geven is wel bijna de rode loper voor criminelen. Dat Zimperium niet zegt hoe ToxicPanda binnenkomt is juist het belangrijkste gat; zonder die informatie blijft de gebruiker zitten met alleen de boodschap: wees voorzichtig.
“Officiële appwinkel” is geen magisch schild, maar zonder te weten hoe ToxicPanda wordt verspreid blijft dit advies wel ongeveer: geef criminelen geen toestemming om crimineel te zijn. VPN- en toegankelijkheidsrechten aan een onbekende app geven is geen rode loper meer, dat is de voordeur openzetten en de sleutel onder de mat leggen.
Wat mij opvalt: zodra zo’n app de Play Store blokkeert, kan Google ook geen melding of verwijdercommando meer doorduwen... misschien moet Android een noodkanaal hebben dat buiten apps om werkt, rechtstreeks vanuit het systeem. Of zit zo’n achterdeur er al in en mogen we daar niks over weten? toeval?
Een VPN is ook gewoon een afstandsbediening voor je internet, dat hoort niet stilletjes op de achtergrond te kunnen draaien; laat Android zo’n verbinding zichtbaar bovenin zetten met een grote stopknop, anders merkt niemand dat de boel gekaapt is.
Een grote vpn-indicator met stopknop had hier weinig opgelost: de gebruiker heeft die toestemming zelf gegeven, net als voor toegankelijkheid. Het probleem is niet dat Android te weinig icoontjes toont, maar dat mensen bij “deze app wil een vpn instellen” gedachteloos op toestaan drukken. Beveiliging die alleen werkt als iedereen elk permissiescherm begrijpt, is inherent nogal kwetsbaar — en malware leeft precies van die achteloosheid.
Het gat zit ook bij recovery: als malware Play Store blokkeert, moet Android een onvervalsbare veilige modus hebben waarin je zonder die app gewoon kunt verwijderen of terugrollen. Geen adviespagina waar je eerst een andere app voor moet downloaden; een kill switch op OS-niveau. Simpel: als één app het reparatiegereedschap kan afsluiten, is dat geen beveiligingsmodel maar hoop.
Dat is nou precies het probleem: die malware zorgt er juist voor dat je niet meer kunt wegklikken of verwijderen, dus een veilige herstelmodus buiten Android om is geen luxe maar noodzaak
Die noodzaak snap ik, maar herstelmodus alleen gaat dit niet oplossen als iemand zelf VPN- en toegankelijkheidsrechten heeft weggegeven. Het begint dus eerder: geen onbekende apps installeren en bij zulke vergaande toestemmingen even stilstaan, want daar voelt de energie al niet goed.
Een veilige modus zou mooi zijn, maar zo simpel is het niet: vpn-rechten blokkeren alleen verkeer, niet per se de hele Play Store of instellingen. Wel raar dat één app je vervolgens praktisch de sleutel tot de voordeur kan afpakken; daar mag Android best een noodrem voor hebben.
De VPN-machtiging betekent trouwens niet automatisch dat de malware versleuteld bankverkeer kan lezen; bij HTTPS blijft dat normaal beschermd, tenzij er extra trucs zoals een geïnstalleerd certificaat of nepvenster worden gebruikt. Het echte risico zit hier in de combinatie: de gebruiker wordt naar een valse login geleid en toegankelijkheid laat de app vervolgens meekijken en klikken. Daarom is “ik gebruik toch https” helaas geen geruststelling.
HTTPS beschermt het verkeer naar de echte bank, maar niet tegen een nepvenster dat vóór die bankapp wordt gelegd. Wel is het te simpel om te zeggen dat toegankelijkheid automatisch alle wachtwoorden onderschept; de gebruiker moet die rechten en vaak ook VPN-toegang eerst zelf toestaan, dus sideloaden en misleidende apps blijven een belangrijke schakel.
Die nuance over HTTPS klopt, maar het probleem zit juist vóórdat er een beveiligde verbinding met de echte bank ontstaat. Met toegankelijkheidsrechten kan zo’n app wachtwoorden laten invullen in een nepvenster, bevestigingscodes onderscheppen of transacties namens de gebruiker uitvoeren; daar helpt een slotje in de browser niet tegen. De VPN-permissie is vooral bedoeld om Google buitenspel te zetten, niet om TLS magisch te kraken.
Hier zit LisaPhD wél een keer goed: https en VPN zijn geen magisch schild als je zélf een nep-login invult en toegankelijkheidstoegang weggeeft. Maar dat “toegankelijkheid laat meekijken” wordt ook weer lekker vaag gebracht; Android vraagt daar niet voor niks expliciet toestemming voor. Gewoon geen app uit een dubieuze link installeren, maar daar hoor je de "experts" dan weer weinig over.
Het onderschatte probleem is herstel: na zo’n besmetting kun je niet meer vertrouwen op wat je op dat scherm ziet, zelfs niet op de melding dat de malware verwijderd is. Het bewustzijnsveld van je telefoon is dan volledig vervuild; vanaf een ánder apparaat wachtwoorden wijzigen, sessies intrekken en de bank bellen is verstandiger dan eindeloos op hetzelfde toestel blijven klikken.
Wat ik vooral irritant vind: als je eenmaal hebt toegestaan dat zo’n app andere apps mag blokkeren, is de oplossing vaak weer een fabrieksreset en ben je alles kwijt. Daar zou Android een soort noodknop voor moeten hebben, bijvoorbeeld opstarten in veilige modus met die rechten automatisch uitgeschakeld.
Die noodknop is hard nodig, maar waarom vraagt Android überhaupt om VPN-toegang voordat zo’n app duidelijk laat zien wat hij ermee kan blokkeren?! Eén verkeerde tik en je zit buitengesloten van Play Store én beveiligingsupdates, precies waar criminelen op rekenen. EN DAN NOG IETS: zet zulke rechten standaard tijdelijk uit zodra iemand in veilige modus opstart, zo moeilijk kan dat toch niet zijn?!
Wat hier onderbelicht blijft: een besmette telefoon is niet alleen een probleem voor de eigenaar, maar kan ook een toegangspoort worden tot werkgevers, familie en financiële contacten. Zeker nu mensen hun hele ecosysteem — bank, DigiD, werkmail, wachtwoordmanager — op één toestel hebben gezet, is “even verwijderen” soms veel te laat. Android en banken moeten veel sterker inzetten op herstel na besmetting, niet alleen op waarschuwingen vooraf.
Op een telefoon staat tegenwoordig de hele boekhouding, agenda en bank erop, maar veel mensen behandelen zo’n toestel nog als een speelgoedje. Een aparte goedkope telefoon voor bankzaken en DigiD lijkt overdreven, tot je door dit soort rommel ineens nergens meer bij kunt.
Ik zeg het al jaren: de zwakste schakel is niet alleen de gebruiker, maar het verdienmodel erachter. Zolang banken, advertentienetwerken en appwinkels vooral op gemak en groei sturen, blijven mensen verleid worden met nep-updates en “gratis” apps; na een besmetting mag de gewone burger zelf uitzoeken hoe hij zijn geld en telefoon terugkrijgt!!!
Dat VPN-scherm ziet eruit alsof ge iets voor de beveiliging moet toestaan, dus voor ge het weet klikt ge akkoord. Bij mijn moeder stond zo’n app ook ineens tussen de apps en kreeg ze de Play Store niet meer open; gelukkig belde ze eerst, anders was het flink misgegaan.
Dat verdienmodel klinkt indrukwekkend, maar de malwaremaker heeft toch echt eerst iemand nodig die op “installeren” en daarna op alle permissies klikt. Banken en appwinkels kunnen veel verbeteren, maar een onbekende app toegang geven tot vpn én toegankelijkheid is geen natuurverschijnsel; daar mag de gebruiker best zelf ook even bij nadenken.