WhatsApp gaat via Amerikaanse rechtbank achter Chinese wachtwoordoplichters aan

Als je ze niet kunt verslaan, klaag ze aan!

Eigenlijk gaat het originele citaat niet helemaal zo, maar je snapt het idee: als je mensen niet kunt stoppen met het downloaden van valse, met malware besmette apps die doen alsof ze worden ondersteund door je krachtige, wereldwijde merk...

... waarom zou u uw krachtige, wereldwijde merk niet gebruiken om de makers van deze malafide malware-verspreidende apps aan te klagen?

Dit is geen nieuwe techniek (juridische stappen door giganten uit de IT-industrie hebben eerder geholpen om kwaadaardige websites en malwaredistributiediensten uit de lucht te halen), en het zal de volgende golf van daders er niet van weerhouden om verder te gaan waar de laatste partij ophield.

Maar alles wat het voor malware-venters moeilijker maakt om in het zicht te werken, is het proberen waard.

WhatApp in het offensief

WhatsApp is samen met moederbedrijf Meta gestart gerechtelijke stappen tegen drie bedrijven die het beweert "misleidde meer dan een miljoen WhatsApp-gebruikers om hun accounts zelf in gevaar te brengen als onderdeel van een accountovernameaanval."

Globaal gezegd, zelf-compromis verwijst in deze context naar app-gebaseerde phishing: maak een nep-login-dialoogvenster dat een ongeautoriseerde kopie bewaart van alles wat u invoert, inclusief persoonlijke gegevens zoals wachtwoorden.

Zoals je je waarschijnlijk kunt voorstellen, en zoals WhatsApp beweert in zijn gerechtelijke procedure, was de primaire waarde van deze gecompromitteerde accounts voor de vermeende overtreders dat ze konden worden gebruikt voor "het verzenden van commerciële spamberichten".

In tegenstelling tot het e-mailecosysteem, waar iedereen iedereen kan e-mailen (of, in het geval van afzenders van bulkberichten, waar iemand iedereen kan e-mailen), zijn berichten- en sociale media-apps zoals WhatsApp gebaseerd op gesloten groepen.

Dit soort online wereld is lang niet zo gemakkelijk voor spammers en oplichters om te infiltreren.

We kennen inderdaad genoeg mensen die nauwelijks meer e-mail gebruiken, die er de voorkeur aan geven om met vrienden en familie te communiceren via precies dit soort gesloten groep, vooral omdat het de stroom van opdringerige en ongewenste rommel waarmee ze via e-mail worden geconfronteerd, omzeilt.

De keerzijde van een messaging-ecosysteem met gesloten groepen is natuurlijk dat je eerder gelooft, of op zijn minst kijkt naar dingen die je ontvangt van mensen die je kent.

Het is onwaarschijnlijk dat u documenten opent of op links klikt die duidelijk afkomstig zijn van een e-mailafzender die u nog nooit eerder hebt ontmoet, niet wilt ontmoeten en nooit zult...

... maar zelfs als je weet dat je neef Chazza de neiging heeft om kreunende memes en video's te delen die de wenkbrauwen doen fronsen, kijk je er waarschijnlijk nog steeds naar, want je weet al wat je kunt verwachten, en hey, het is je neef, niet een paar helemaal willekeurige online afzender.

Met andere woorden, als oplichters toegang kunnen krijgen tot uw sociale media-accounts, krijgen ze niet alleen toegang tot uw mensen-ik-ik-ben-blij-om-te-praten-met-lijst, maar krijgen ze ook de mogelijkheid om die lijst met mensen te spammen die -blij-te-van-je-te-horen-met-berichten die ogenschijnlijk met jouw zegen zijn verzonden.

IHelaas is het niet voldoende om alleen de afzender te vertrouwen, want je moet ook het apparaat van de afzender en diens account vertrouwen.

Spam en oplichting op sociale netwerken op basis van gecompromitteerde accounts lijkt een beetje op Compromis zakelijke e-mail (BEC), waar oplichters de moeite nemen om toegang te krijgen tot een officieel e-mailaccount binnen een bedrijf.

Dit betekent dat ze de werknemers van dat bedrijf veel overtuigender kunnen misleiden dan ze zouden kunnen als externe afzenders:

Benoemd en beschaamd

WhatsApp noemde drie bedrijven in de rechtszaak die onder drie verschillende merknamen in Zuidoost-Azië opereren.

De bedrijven zijn Rockey Tech HK Ltd (Hongkong), Peking Luokai Technologie Co Ltd (PRC), en Chatchat Technologie Ltd (Taiwan).

De merknamen waaronder WhatsApp beweert nep-apps en add-ons te hebben verkocht, zijn: Heymods, Markeer Mobi en HeyWhatsApp .

Heel simpel gezegd stelt WhatsApp dat de beklaagden heel goed wisten dat hun gedrag niet in overeenstemming was met de verschillende voorwaarden van Meta, en dat het doel van het schenden van die voorwaarden was om toegang te krijgen tot en misbruik te maken van de accounts van legitieme gebruikers.

Het door WhatsApp ingediende gerechtelijke document bevat een screenshot van de zogenaamd malafide app genaamd HeyWhatsApp Android die op de alternatieve Android-downloadmarkt terecht is gekomen Malavida, waar de app-beschrijving gebruikers vrij openlijk waarschuwt:

WhatsApp autoriseert de gebruiker van deze [modificatietools] helemaal niet, dus het downloaden van HeyWhatsApp […] kan leiden tot verbanning van de dienst […] Evenmin garandeert het een correcte werking, waardoor we vaak te maken krijgen met een gebrek aan stabiliteit.”

Andere frauduleuze apps in de rechtszaak, zegt Meta, waren beschikbaar in de Google Play Store zelf, wat niet alleen betekent dat ze de officiële imprimatur van Google ontvingen, maar mogelijk ook een veel breder publiek bereikten (en waarschijnlijk een publiek met een voorzichtigere houding ten opzichte van cyberbeveiliging).

Een van deze apps werd meer dan 1,000,000 keer gedownload, zeggen de eisers, en een tweede app overschreed 100,000 downloads.

Zoals WhatsApp wrang stelt, "Beklaagden hebben in de Google Play Store of in het privacybeleid niet bekendgemaakt dat deze applicatie malware bevat die is ontworpen om de WhatsApp-authenticatiegegevens van de gebruiker te verzamelen."

(Terzijde, we kunnen het niet helpen, maar we vragen ons af hoeveel mensen de app toch zouden hebben geïnstalleerd, zelfs als de beklaagden van tevoren hadden toegegeven dat "deze software je wachtwoord steelt".)

Wat te doen?

• Vermijd zo mogelijk off-market. Zoals dit geval ons eraan herinnert, komt veel malware voorbij het geautomatiseerde "softwarecontrole"-proces van Google Play, maar er zijn op zijn minst enkele elementaire cyberbeveiligingscontroles en -saldi die door Google worden toegepast. Veel off-market Android-downloadsites daarentegen hanteren heel bewust een "alles mag"-benadering, en sommigen zijn er zelfs trots op apps te accepteren die Google heeft afgewezen.
• Overweeg een cyberbeveiligings-app van derden voor uw Android. Apps van cyberbeveiligingsspecialisten helpen u bij het opsporen en blokkeren van een groot aantal frauduleuze websites en schadelijke apps, zelfs als de Play Store van Google ze doorlaat. (Ja, Sophos heeft er een, en het is gratis.)
• Als het te mooi klinkt om waar te zijn, is het ook te mooi om waar te zijn. Moet je echt de WhatsApp-kleuren veranderen? Als de officiële app je dit niet toestaat, waarom zou je dan een app vertrouwen die beweert een tijdelijke oplossing te hebben ontdekt? Besteed vooral niet veel of zelfs geen aandacht aan de crowd-sourced beoordelingen op app-downloadsites, inclusief Google Play zelf. Die beoordelingen hadden door iedereen kunnen worden achtergelaten.
• Verwijder regelmatig apps die je niet echt nodig hebt of niet veel gebruikt. Losjes gezegd, hoe meer apps je op je telefoon hebt, hoe groter je aanvalsoppervlak en hoe groter de kans dat je persoonlijke gegevens weggeeft die je niet wilde. Waarom ruimte geven aan apps die geen duidelijk en nuttig doel dienen?

Wees vooral op uw hoede voor apps die beweren dat ze alleen beschikbaar zijn op alternatieve downloadsites om intrigerend klinkende redenen zoals "Google wil niet dat u deze app heeft omdat het hun advertentie-inkomsten vermindert", of "deze investerings-app is door Alleen op uitnodiging, dus deel deze speciale link met niemand”.

Er zijn veel legitieme en nuttige apps die niet in overeenstemming zijn met de zakelijke en commerciële regels van Google, en die daarom nooit de competitieve wereld van Google Play zullen bereiken...

… maar er zijn veel, veel meer apps die door Google worden afgewezen omdat ze duidelijk cyberbeveiligingsfouten bevatten, hetzij door lui, incompetent of beide programmeurs, hetzij omdat de makers van de app niet-gereconstrueerde cybercriminelen waren.

Zoals we graag zeggen: Bij twijfel/laat het weg.

---