Mobiele apps nog steeds zo lek als een mandje

Steeds venijniger apps

Verder geeft McAfee Labs details over de oprukkende Angler Exploit Kit en waarschuwt voor steeds agressievere PUP’s (potentially unwanted programs) die systeeminstellingen aanpassen en persoonlijke informatie verzamelen zonder medeweten van de eigenaar.

CERT wordt niet gehoord

Al in september 2014 publiceerde het Computer Emergency Response Team (CERT) van Carnegie Mellon University een lijst met mobiele apps die digitale certificaten ten onrechte valideren. Sommige daarvan zijn miljoenen keren gedownload. In januari heeft McAfee Labs de vijfentwintig populairste apps van de CERT-lijst getest. Het gaat om kwetsbare mobiele apps die via een onbeveiligde verbinding inloggegevens versturen. Ondanks de openbaarmaking, de kennisgeving aan de leveranciers én - in sommige gevallen - meerdere versie-updates, bleken achttien van deze apps nog altijd niet te zijn gepatcht.

Man in the middle

Onderzoekers van McAfee Labs simuleerden zogenaamde MITM-aanvallen (‘man-in-the-middle’) die via ‘veilige’ SSL-sessies verstuurde informatie met succes wisten te onderscheppen. Hoewel er geen bewijs is dat deze mobiele apps daadwerkelijk zijn misbruikt voor cybercriminele doeleinden, loopt het totale aantal downloads in de honderden miljoenen. Deze cijfers, in combinatie met de bevindingen van McAfee Labs, maken pijnlijk duidelijk dat de laksheid van ontwikkelaars miljoenen gebruikers tot potentiële slachtoffers van MITM-aanvallen maakt.