Google heeft op meer dan 170.000 Androidtoestellen root-malware ontdekt die het apparaat probeert te rooten om zo advertenties te laten zien, Google-accounts aan te maken en clickfraude te plegen. Het gaat onder andere om verschillende games en een nieuws-app die met de Zen-malware zijn besmet.

De succesvolste van deze apps is op meer dan 170.000 toestellen aangetroffen, voornamelijk in Brazilië en India. De Zen-malware probeert het toestel te rooten om zo root-permissies te verkrijgen. Deze permissies worden gebruikt voor het inschakelen van een serivce die Google-accounts aanmaakt. Daarnaast gebruikt de malware de root-permissies om zichzelf op de systeempartitie te installeren. Dit maakt het lastiger voor gebruikers om de malafide app te verwijderen.

Google stelt dat de gebruikte root-aanval alleen werkt tegen ongepatchte toestellen met Android 4.3 of eerder. Toestellen met Android 4.4 of nieuwer zijn via Verified Boot tegen de aanval beschermd. Eenmaal actief voert de malware clickfraude uit. Hierbij worden clicks van de gebruiker op advertenties gesimuleerd, waarvoor de malwaremakers betaald krijgen. Verder laat de malware grote aantallen advertenties zien.

De malware is onder andere aangetroffen in apps met de naam "World News", "Zombie City" en "Counter Terrorist Elite Combat". De apps bootsen populaire games na, maar zijn volgens Google van een zeer slechte kwaliteit. Daarnaast gaat het om originele apps die opnieuw verpakt zijn, alleen aangevuld met de malware. Het enige directe verschil voor de gebruiker is dat deze versies meer advertenties laten zien. Google stelt dat alle malafide apps met de Zen-malware op toestellen worden verwijderd waar Google Play Protect actief is.