Onderzoekers hebben in de Google Play Store malware ontdekt die tweefactorauthenticatiecodes weet te stelen door toegang tot notificaties te vragen. Daarmee omzeilt de malware een maatregel die Google eerder dit jaar doorvoerde. Sinds maart beperkt Android namelijk het gebruik van sms-permissies.

Hierdoor kunnen apps die inloggegevens proberen te stelen deze permissies niet gebruiken om toegang tot tweefactorauthenticatie (2FA)-codes te krijgen die via sms zijn ontvangen. De nu ontdekte malware blijkt echter in staat om zonder sms-permissies toch 2FA-codes uit sms-berichten te stelen. De gebruikte techniek werkt ook tegen 2FA-codes die via e-mail worden verkregen.

De malware vraagt namelijk toegang tot notificaties van andere apps en heeft ook de mogelijkheid om de notificaties te sluiten of op knoppen te klikken indien die aanwezig zijn. De notificatie van een sms-bericht kan bijvoorbeeld de opgevraagde 2FA-code bevatten. Door het uitlezen van de notificatie kan de malware zo de code stelen, waarmee de aanvaller toegang tot een account kan krijgen. Daarnaast kan de malware de notificatie meteen sluiten, zodat het slachtoffer niets door heeft.

De malware zat verborgen in drie malafide apps in de Google Play Store, die afkomstig leken van een Turkse cryptobeurs. Twee van de apps waren bij elkaar zo'n honderd keer gedownload voordat ze door Google werden verwijderd. De derde app werd vorige week door antivirusbedrijf ESET bij Google gerapporteerd.

Androidgebruikers krijgen het advies om alleen apps voor cryptobeurzen en financiën te vertrouwen die direct van de officiële website worden gelinkt. Tevens moeten mensen alleen apps die ze vertrouwen gebruiken en deze alleen notificatietoegang geven als er een legitieme reden is. Verder wordt aangeraden om 2FA-codes via een generator te genereren in plaats van sms of e-mail te gebruiken.