85 aplicativos maliciosos da Google Play foram baixados mais de 8 milhões de vezes

By: TI Inside Online

A Trend Micro identificou uma nova família de adware no Google Play. Chamada de AndroidOS_Hidenad.HRXH, os falsos apps se disfarçavam de aplicativos de fotos e jogos. Além dos típicos métodos de adware, que consistem na exibição de anúncios difíceis ou impossíveis de se fechar, essa ameaça utiliza técnicas únicas para evitar sua detecção a partir de gatilhos baseados no tempo e no comportamento do usuário.

No total, os 85 aplicativos maliciosos da Google Play foram baixados mais de oito milhões de vezes. Eles se passavam por apps de jogos e fotografia e usavam técnicas avançadas de evasão. Após o download, a ameaça esperava mais de 30 minutos para agir e então escondia o ícone do aplicativo, e impedindo que o app fosse desinstalado ao ter seu ícone arrastado para a seção “desinstalar” da tela.

Embora os aplicativos tenham as funcionalidades reais das aplicações de que se disfarçam, os anúncios são mostrados em toda a tela, forçando os usuários a visualizar toda a duração do anúncio antes de conseguir fechá-lo ou voltar ao próprio app. Além disso, a frequência com que eles são exibidos pode ser configurada remotamente pelo fraudador, o que poderia aumentar o incômodo dos usuários.

Mais: https://tiinside.com.br/tiinside/seguranca/mercado-seguranca/20/08/2019

Aplicações consideradas malware permanecem no Google Play em média 51 dias

By: ESET Portugal Blog

Um estudo sobre a segurança em Android realizado no primeiro semestre de 2019 assegura que 2% das apps eliminadas do Google Play são consideradas malware e chegam a permanecer na loja até 138 dias

estudo realizado pela ElevenPath sobre o estado da segurança na primeira metade de 2019 analisa a segurança em Android, e refere que, durante este primeiro semestre, foram eliminadas um total de 44.782 aplicações da loja oficial da Google. Assim, e como parte do estudo, foi analisado um conjunto de 5.000 aplicações como amostra, das quais um total de 115 foram qualificadas como maliciosas.

Como tal, extrapolando estes números concluíram que cerca de 2% das aplicações eliminadas do Google Play durante o primeiro semestre de 2019 foram consideradas malware.

O estudo analisou também o tempo de permanência destas apps maliciosas no Google Play e revelou que estas apps maliciosas estiveram em média 51 dias disponíveis para download antes de serem eliminadas, chegando mesmo a permanecer 138 dias, em alguns casos.

Apesar dos especialistas em segurança recomendarem o download de apps apenas a partir de sites oficiais dada a possibilidade de descarregarem malware de sites e plataformas de baixa reputação, a realidade também indica que, tal como temos reportado noutras oportunidades, muitas aplicações maliciosas enganam os filtros de segurança da loja oficial da Google (assim como da Apple) e conseguem ficar disponíveis para download, até que sejam detetadas e eliminadas. Apesar desta ser uma realidade inegável e abordar as dificuldades que enfrenta um gigante como a Google quanto à aplicação de filtros para determinar a segurança de uma app antes de a disponibilizar na sua loja oficial, isto não quer dizer que mesmo assim não seja mais seguro descarregar uma app do Google Play ou da App Store que de lojas não oficiais cujos filtros são ainda mais débeis.

O investigador de segurança da ESET, Lukas Stefanko, assegurou que “várias investigações têm demonstrado, em diversas ocasiões, que os sistemas de proteção do Google Play não são inexpugnáveis. Mas, e apesar de não ser tão segura como uma base militar, faz um bom trabalho a combater aquelas aplicações perigosas, e caso as detete, elimina-as, evitando mesmo que desenvolvedores cujas contas foram proibidas possam criar novas contas e continuem a publicar apps maliciosas”.

Mais: https://blog.eset.pt/2019/07/aplicacoes-consideradas-malware-permanecem-no-google-play-em-media-51-dias/

Many popular iPhone apps secretly record your screen without asking

By: Zack Whittaker

Many major companies, like Air Canada, Hollister and Expedia, are recording every tap and swipe you make on their iPhone apps. In most cases you won’t even realize it. And they don’t need to ask for permission.

You can assume that most apps are collecting data on you. Some even monetize your data without your knowledge. But TechCrunch has found several popular iPhone apps, from hoteliers, travel sites, airlines, cell phone carriers, banks and financiers, that don’t ask or make it clear — if at all — that they know exactly how you’re using their apps.

Worse, even though these apps are meant to mask certain fields, some inadvertently expose sensitive data.

Apps like Abercrombie & Fitch, Hotels.com and Singapore Airlines also use Glassbox, a customer experience analytics firm, one of a handful of companies that allows developers to embed “session replay” technology into their apps. These session replays let app developers record the screen and play them back to see how its users interacted with the app to figure out if something didn’t work or if there was an error. Every tap, button push and keyboard entry is recorded — effectively screenshotted — and sent back to the app developers.

Or, as Glassbox said in a recent tweet: “Imagine if your website or mobile app could see exactly what your customers do in real time, and why they did it?”

The App Analyst, a mobile expert who writes about his analyses of popular apps on his eponymous blog, recently found Air Canada’s iPhone app wasn’t properly masking the session replays when they were sent, exposing passport numbers and credit card data in each replay session. Just weeks earlier, Air Canada said its app had a data breach, exposing 20,000 profiles.

More: https://techcrunch.com/2019/02/06/iphone-session-replay-screenshots/

Your Apps Know Where You Were Last Night, and They’re Not Keeping It Secret

By: Jennifer Valentino, Natasha Singer, Michael H. Keller, Aaron Krolik

Dozens of companies use smartphone locations to help advertisers and even hedge funds. They say it’s anonymous, but the data shows how personal it is.

The millions of dots on the map trace highways, side streets and bike trails — each one following the path of an anonymous cellphone user.

One path tracks someone from a home outside Newark to a nearby Planned Parenthood, remaining there for more than an hour. Another represents a person who travels with the mayor of New York during the day and returns to Long Island at night.

Yet another leaves a house in upstate New York at 7 a.m. and travels to a middle school 14 miles away, staying until late afternoon each school day. Only one person makes that trip: Lisa Magrin, a 46-year-old math teacher. Her smartphone goes with her.

An app on the device gathered her location information, which was then sold without her knowledge. It recorded her whereabouts as often as every two seconds, according to a database of more than a million phones in the New York area that was reviewed by The New York Times. While Ms. Magrin’s identity was not disclosed in those records, The Times was able to easily connect her to that dot.

The app tracked her as she went to a Weight Watchers meeting and to her dermatologist’s office for a minor procedure. It followed her hiking with her dog and staying at her ex-boyfriend’s home, information she found disturbing.

More: https://www.nytimes.com/interactive/2018/12/10/business/location-data-privacy-apps.html

Hacking Your Ride: Risks Posed by Automotive Smartphone Apps

By: Nick Holland

 

In the latest edition of the ISMG  Report, Asaf Ashkenazi of mobile security firm Inside

In the latest edition of the ISMG Security Report, Asaf Ashkenazi of mobile security firm Inside Secure discusses new threats to car security posed by certain smartphone apps.Automotive

In this report, you’ll hear (click on player beneath image to listen):

  • Ashkenazi discuss emerging threats to automotive security;
  • Saryu Nayyar of the security firm Gurucul explain how behavioral authentication can streamline customer onboarding;
  • Ryan Witt of Proofpoint discuss how “very attackable people” who are potential targets for hackers can be identified.

The ISMG Security Report appears on this and other ISMG websites on Fridays. Don’t miss the Nov. 9 and Nov. 16 editions, which respectively discuss cracking down on criminals’ use of encrypted communications and China’s economic espionage campaign.

More: https://www.bankinfosecurity.com/interviews/hacking-your-ride-risks-posed-by-automotive-smartphone-apps-i-4181