Onderzoekers waarschuwen voor op Android gebaseerde fotolijstjes die na een versie-update van de software malware downloaden en installeren. Daarnaast bevatten de fotolijstjes meerdere kwetsbaarheden waardoor aanvallers onder andere op afstand willekeurige code met rootrechten kunnen uitvoeren. Via gecompromitteerde fotolijstjes kunnen aanvallers vervolgens andere systemen in het netwerk of daarbuiten aanvallen, aldus securitybedrijf Quokka (pdf).

De fotolijstjes worden onder verschillende merken aangeboden, zoals Bigasuo, Canupdog, Euphro, Sammix, Wonnie, Jaokpo, MaxAngel, jazeyeah, Fangor, Forc, Caxtonz, Shenzhen Yunmai Technology, Glusine, Bmdigipf, Byybuo, Sbusfgt en Weipan. De apparaten draaien op Android en maken gebruik van een applicatie genaamd Uhale, ontwikkeld door het Chinese bedrijf Zeasn. Gebruikers kunnen de fotolijstjes via de Uhale-app bedienen. De app synchroniseert fotoalbums op de telefoon van de gebruiker met de applicatie op het fotolijstje. Volgens cijfers van de Google Play Store is de Uhale-app meer dan 500.000 keer gedownload. Eén van de fotolijstjes heeft op Amazon bijna duizend reviews.

Onderzoekers van Quokka ontdekten dat de fotolijstjes na de installatie van versie 4.2.0 opeens malware begonnen te downloaden en installeren. Het verschijnsel werd bij meerdere fotolijstjes waargenomen. "Na het opstarten bleken veel van de onderzochte fotolijstjes naar versie 4.2.0 van de Uhale-app te updaten. Het apparaat installeert deze versie en herstart. Na de herstart downloadt de bijgewerkte Uhale-app malware", aldus de onderzoekers in een rapport. In totaal werden zes malafide gedownloade .APK- en .JAR-bestanden waargenomen die het label malware, spyware en trojan kregen.

De malware op de fotolijstjes zou mogelijk verband houden met een botnet genaamd Vo1d, maar dat kunnen de onderzoekers niet direct bevestigen. Verder ontdekten de onderzoekers verschillende kwetsbaarheden, waaronder drie die remote code execution als root mogelijk maken. De onderzoekers melden dat ze Zeasn verschillende keren op de kwetsbaarheden hebben gewezen maar geen reactie van het bedrijf kregen.

"Wat een eenvoudig fotolijstje lijkt kan in werkelijkheid een trojaans paard zijn. Ons onderzoek laat zien dat apparaten die van Uhale gebruikmaken niet alleen de basisbeveiliging niet op orde hebben, maar gebruikers actief blootstellen aan malware, surveillance en een gecompromitteerd netwerk", concluderen de onderzoekers.