Pas op: nieuwe, geavanceerde Android-malware misbruikt verborgen advertenties en brengt gebruikers in gevaar

Cybercriminelen hebben een nieuwe en bijzonder sluwe vorm van Android-malware ontwikkeld die gebruikmaakt van kunstmatige intelligentie (AI) om advertentiefraude te plegen. Deze malware is in staat om traditionele, gedragsgebaseerde beveiligingsmaatregelen te omzeilen en vormt daarmee een serieuze bedreiging voor zowel gebruikers als advertentienetwerken.

Advertentiefraude: een oud probleem in een nieuw jasje

Online advertentienetwerken verdienen geld wanneer echte mensen advertenties bekijken of erop klikken. Sinds het begin van online adverteren proberen criminelen dit systeem te misbruiken door nepkliks te genereren met geautomatiseerde scripts. Door grote aantallen valse interacties te creëren, proberen zij advertentie-inkomsten te stelen.

Om dit tegen te gaan, zijn advertentienetwerken in de loop der jaren steeds slimmer geworden. Ze gebruiken gedragsanalyse om te bepalen of een klik menselijk is:

• klikken die te snel achter elkaar plaatsvinden,
• patronen die te voorspelbaar zijn,
• of interacties die niet overeenkomen met normaal menselijk gedrag,

worden vaak automatisch genegeerd.

Ook worden advertenties steeds vaker dynamisch geplaatst op wisselende locaties, zodat eenvoudige scripts ze niet meer zomaar kunnen aanklikken.

AI verandert het speelveld

De nieuw ontdekte Android-trojans maken echter gebruik van machine learning-modellen, gebaseerd op TensorFlow, om deze beveiligingen te omzeilen. In plaats van vaste scripts gebruiken ze visuele analyse, vergelijkbaar met hoe een mens naar een scherm kijkt.

Deze malware analyseert screenshots van een verborgen browservenster en herkent advertenties op basis van hun uiterlijk. Vervolgens simuleert het tikken, scrollen en pauzes op een manier die sterk lijkt op menselijk gedrag. Hierdoor worden traditionele beveiligingssystemen misleid en worden de frauduleuze kliks als “legitiem” beschouwd.

De gebruikte technologie, TensorFlow.js, is een open-source bibliotheek waarmee AI-modellen kunnen draaien binnen browsers of op servers. Cybercriminelen misbruiken deze technologie om hun malware slimmer, flexibeler en moeilijker te detecteren te maken.

‘Phantom-modus’: klikken zonder dat je het ziet

Een opvallend kenmerk van deze malware is de zogeheten ‘phantom-modus’. Hierbij opent de geïnfecteerde app een verborgen, ingebedde browser die niet zichtbaar is voor de gebruiker.

• Advertenties worden geladen in deze onzichtbare browser
• Het browservenster draait op een virtueel scherm
• Screenshots van dat scherm worden continu geanalyseerd door het AI-model
• De malware bepaalt waar advertenties staan en klikt ze op een natuurlijke manier aan

Voor de gebruiker lijkt het alsof de telefoon niets doet, terwijl op de achtergrond intensieve en frauduleuze activiteiten plaatsvinden.

Live controle door aanvallers

In sommige gevallen kan de malware het verborgen browservenster zelfs live streamen naar de aanvallers. Dit geeft cybercriminelen directe controle:
ze kunnen op afstand tikken, scrollen, formulieren invullen en commando’s uitvoeren alsof ze de telefoon zelf in handen hebben. Dit vergroot het misbruikpotentieel aanzienlijk.

Verspreiding via ogenschijnlijk legitieme apps

Om slachtoffers te infecteren, hebben de aanvallers meerdere nep-apps ontwikkeld. Deze apps wisten zelfs hun weg te vinden naar GetApps, de officiële appwinkel van Xiaomi. Daarnaast zijn ze verspreid via:

• losse downloadwebsites
• sociale media
• berichtenapps en kanalen op platforms zoals Telegram

Tot nu toe zijn minstens zes kwaadaardige apps geïdentificeerd, die samen al meer dan 155.000 keer zijn gedownload. Dat aantal kan in werkelijkheid hoger liggen.

Wat betekent dit voor gebruikers?

Hoewel het primaire doel van deze malware advertentiefraude is, vormt de gebruikte techniek een groter risico:

• verhoogd batterij- en dataverbruik
• prestatieproblemen op het toestel
• potentiële uitbreiding naar ernstigere vormen van misbruik, zoals diefstal van gegevens of volledige apparaatcontrole

Deze ontwikkeling laat zien hoe AI niet alleen wordt ingezet voor defensieve beveiliging, maar ook steeds vaker wordt misbruikt door criminelen om aanvallen slimmer en moeilijker detecteerbaar te maken.

Conclusie

Deze nieuwe generatie Android-malware markeert een zorgwekkende evolutie in cybercriminaliteit. Door kunstmatige intelligentie te combineren met verborgen browsertechnieken slagen aanvallers erin om zowel gebruikers als beveiligingssystemen te misleiden. Het onderstreept het belang van waakzaamheid bij het installeren van apps, zelfs uit ogenschijnlijk betrouwbare bronnen, en laat zien dat de strijd tussen beveiliging en cybercriminaliteit een nieuw, technologisch niveau heeft bereikt.

Door: Drifter