Näin haittaohjelma tulee älypuhelimeen ja miten se estetään

Pari päivää sitten puhelimeeni kilahti tekstiviesti: "[OmaPosti] Sinulla on paketti, joka on allekirjoitettava, tarkista..." (ja is.gd-linkkilyhennyspalvelun taakse piilotettu osoite).

Haittaohjelma tyrkyttää itseään huijausviestillä.

Kyseessä on nykyään yleinen FakeCop, jonka toiminnasta voi lukea lisää esim. Ilta-Sanomien uutisesta 27.1.2021, ja se voi tuottaa uhrille ison puhelinlaskun (IS-juttu 15.2.2021). Viestissä mainittu linkki ei enää toimi, mutta sen takana oli aidolta Postin sivulta näyttävä huijaus, joka neuvoi päivittämään Chrome-selaimen.

"Päivitä Chrome turvallisuutesi vuoksi".

Samsungin selain ei ole Chrome, mutta harva peruskäyttäjä kiinnittää huomiota selaimen valmistajaan. Sen sijaan tämä on tärkeää: Älä koskaan päivitä sovellusta nettisivun linkillä! Mobiililaitteissa sovellukset päivittävät itsensä automaattisesti.

Älä lataa apk-tiedostoa!

Seuraavaksi huijaus pyytää lataamaan apk-tiedoston, joka on Androidin käyttämä ohjelmatiedostoformaatti. Älä tee niin! Itse tein latauksen ja lähetin apk-tiedoston Virustotal-palveluun, missä vain muutama virustorjuntaohjelma tunnisti sen. Ladattavia tiedostoja varioidaan, jotta virustorjunta ei tunnistaisi niitä, ja tekniikka näköjään toimii.

Vain muutama torjuntamoottori tunnisti viruksen tässä vaiheessa.

Siirsin tiedoston testipuhelimeen ja yritin käynnistää sen. Hyvä puoli on, että toisin kuin Windowsissa, mobiililaitteissa netistä ladattuja tai sähköpostilla saatuja tiedostoja ei voi suoraan käynnistää. Rikollisten täytyy onnistua huijaamaan uhri käynnistämään haittaohjelman itse. Tässä kohdassa jokainen pystyy suojaamaan puhelimensa ja itsensä -- älä siis koskaan lataa äläkä asenna epämääräisiä ohjelmia, pyydettiinpä sitä millä verukkeella tahansa.

Älä siis tee näin, kuten minä tein opetustarkoituksissa:

Haittaohjelman asentaminen.

Android varoittaa, ettei tästä lähteestä voi asentaa tuntemattomia sovelluksia.

"Puhelin ei voi asentaa tuntemattomia sovelluksia tästä lähteestä."

Se tarjoaa kuitenkin Asetukset-painikkeen, jolla rajoitus voidaan hetkeksi poistaa. Samalla se varoittaa vielä kerran vaaroista, mitä Play-kaupan ulkopuolelta asennettaviin ohjelmiin liittyy.

Salli tästä lähteestä -asetus.

Täppää siirtämällä asennus onnistuu ja haittaohjelma lisää itsensä muiden sovellusten joukkoon. FakeCop käyttää Google Chromen kuvaketta, joten sitä ei tunnista haitalliseksi. Tarkkasilmäinen voi ihmetellä, miksi asennettujen ohjelmien listassa näkyy peräkkäin kaksi Chromea, joista toinen on yli 50 megatavua (oikea selain) ja toinen vain 428 kilotavua (haittaohjelma).

Hetkinen... kaksi Chromea?

Toinen kummastusta herättävä kohta on vale-Chromen pyytämät oikeudet. Miksi selaimen pitäisi päästä tekstiviesteihin, yhteystietoihin ja saada oikeus soittaa puheluita?

Haitake haluaa oikeudet puhelimeen ja tekstiviesteihin. 

Testipuhelimessa ei ollut sim-korttia, jotta haittaohjelma ei pystyisi levittämään itseään. Nettiyhteys oli, joten FakeCop pystyi ottamaan yhteyttä komentopalvelimeen. Se ei vain pystynyt tekemään mitään. Puhelin toimi normaalisti eikä mistään ulkoisesta syystä voinut havaita, että haittaohjelma oli käynnissä.

Viruksen jälkeen asensin F-Secure SAFE-ohjelman. Jäi siis kokeilematta, olisiko aktiivinen torjuntaohjelma estänyt asennuksen. Luultavasti. Jälkikäteen skannauksessa haittaohjelma paljastui.

F-Secure Safe löytää haittaohjelman puhelimesta.

Haittaohjelmien yhä lisääntyessä virustorjuntaohjelma saattaa olla paikallaan, varsinkin jos puhelimeen ladataan pelejä ja sitä käytetään huolimattomasti. Ilman torjuntaohjelmaakin pärjää, kunhan ei lataa epämääräisiä ohjelmia eikä ikinä asenna mitään nettisivulta. Älä asenna puhelimeen yhtään ylimääräistä sovellusta, niin pysyt turvassa.

Kuten kuvista näkyy, saa syyttää vain itseään, mikäli ei lue eikä ymmärrä Androidin monia varoituksia Play-kaupan ohittavan oheislatauksen (ns. side loading) vaaroista.

BTW, Google on näköjään taas lisännyt uuden suojaustason Chrome-selaimeen. Se kannattaa kytkeä päälle. Haittapuolena tosin on, että ilmoituksen mukaan epäilyttävät url-osoitteet lähetetään Googlen tarkistettavaksi, mikä voi aiheuttaa tietosuojahuolia. 

Googlen "Parannettu suojaus" on osa selaussuojan asetuksia.

Chromen asetus löytyy kohdasta chrome://settings/security.

Lisäys 16.4.2021: Ilta-Sanomat on tehnyt saman kokeilun videona, tosin jättävät varsinaisen haittaohjelman asentamatta. 

iOS ja Android valmiita koronasovellukseen

Älypuhelimet ovat kaikessa hiljaisuudessa päivittäneet itsensä koronan jäljityssovellusta varten. Niihin on lisätty Applen ja Googlen yhdessä suunnittelema rajapinta (API), jota kansalliset jäljityssovellukset voivat käyttää kohtaamisten tunnistamiseen.

Tässä on monia kiinnostavia yksityiskohtia. Android-puhelimiin ominaisuus on tullut kuin varkain, eikä sitä ole edes helppo löytää. Asetuksista kannattaa painaa suurennuslasia ja sen jälkeen kirjoittaa COVID-19. Tuloksena voi olla näyttö, jossa asetus on mainittu, mutta se voi myös puuttua, ja silti API on valmiina.

Googlen piilotettu "oma" päivityspalvelu.

Miten puhelin voi päivittyä salaa? Androidissa toimii taustalla Google Play Palvelut (Google Play Services) -niminen prosessi, joka tarjoaa muille sovelluksille palveluita ja jota Google pystyy päivittämään itsenäisesti ilman, että käyttäjälle näytetään päivitysilmoitusta. Yleensä turva- ja ominaisuuspäivitykset tulevat valmistajan kautta, jolloin käyttäjän pitää hyväksyä ne ja antaa lupa puhelimen uudelleenkäynnistämiseen asennuksen jälkeen.

Jos API on käytettävissä, se löytyy Asetukset (hammasrattaan kuva) > Google (Googlen asetukset) näytöstä:

Altistusilmoitukset

Kohdasta COVID-19-altistusilmoitukset aukeaa uusi näyttö, jonka takana on toistaiseksi vain paljon tekstiä:

COVID-19-ilmoitukset

Oleelliset kohdat ovat harmaina, koska Suomen kansallista koronasovellusta ei vielä ole. Teksti on kuitenkin kiinnostava ja kertoo havainnollisesti, mistä API:ssa on kyse ja miten kansalliset sovellukset tulevat toimimaan.

Koska tekstiä on vaikea lukea puhelimesta, ilmeisesti sama sisältö löytyy myös osoitteesta https://support.google.com/googleplay/answer/9888358?hl=fi.

iPhonen käyttäjille ei jäänyt epäselvyyttä päivityksestä, sillä se tuli näkyvästi saataville 21.5.2020.

iOS 13.5 ja Covid-päivitys ja altistusilmoitus-API

Asennuksen jälkeen asetuksista Tietosuoja > Terveys löytyy COVID-19-altistusloki:

Altistusloki: Pois

...joka on tietenkin vielä tyhjä:

"Ei saatavana alueellasi"

Applen tapauksessa sekaannukset ovat väistämättömiä, sillä nyt kyseessä on api (rajapinta), ja Apple käyttää sovelluksista termiä appi. Molemmat apit tarkoittavat eri asioita -- paitsi jatkossa, jolloin Apple ja Google alkavat ilmeisesti tarjota valmista appia, joka käyttää apia.

Altistuslokia ei ole iPad-laitteissa.

Nyt sitten vain odottamaan kansallista koronasovellusta!

JK. Kokeilin vielä eri puhelimissa. Samsungin uudehkot mallit olivat päivittyneet, samoin Huawei (vaikka onkin USA:n sulkulistalla). Myös Samsung S7 oli päivittynyt, vaikka sitä ei virallisesti enää tueta. Vanha A-sarjan halpispuhelin ei ollut päivittynyt, ei myöskään Samsung S6.

iOS 13.5 tukee SE-malleja, 6-sarjaa ja sitä uudempia.

F-Secure varoitti vihdoin: Mansions of Madness

Virustorjunnan tarpeellisuudesta älypuhelimessa voi olla monta mieltä. Kiista F-Securen edustajan kanssa sai minut ostamaan ohjelman kokeiluun, eikä se ole viiteen kuukauteen antanut elonmerkkejä itsestään.

Tänään tietoturvakurssilla sain vinkin eräältä osallistujalta: Google Play-kaupasta ladattu Mansions of Madness -lautapelin lisäohjelma saa kuulemma virustarkistuksen älähtämään. Sitähän piti tietenkin kokeilla heti.

Mansion of Madness Googlen Play-kaupassa.

Ja toden totta: kun 152 megatavun paketti oli ladattu, F-Secure antoi ensi kertaa elonmerkin itsestään (edellisen oman tarkistuksen olen ajanut näköjään maaliskuussa):

F-Securen varoitus.

Ohjelmassa on siis jokin adware-lisäke, joka esittää mainoksia ja ehkä kerää henkilötietoja.

Virustentorjunta: 1 ongelma havaittu.

SAFE luokittelee ohjelman "mahdollisesti ei-toivotuksi", ei varsinaiseksi haittaohjelmaksi:

Mahdollisesti ei-toivottu.

Tein kuten ohjelma ehdotti ja poistin latauksen ennen varsinaista käyttöä. Toistan vanhan ohjeeni: ladattaessa pelejä ja hupiohjelmia Play-kaupasta kannattaa olla korostetun varovainen, koska niiden joukossa on hämääviä ja suorastaan huijaavia apuohjelmia. Jos jättää pelit rauhaan, haittaohjelman riski on erittäin pieni. Ilmeisesti tämäkin näyttää vain mainoksia, joten varsinaisesta haittaohjelmasta ei ole kyse.

Oletko törmännyt muihin Android-sovelluksiin, joista virustorjunta antaisi oikean hälytyksen (ei siis pelkkiä valevaroituksia web-sivuilta)?

Veikkauksen Android-sovellus ongelma tietoturvalle

Uutisen mukaan Google on poistanut Veikkauksen ohjelman Play-sovelluskaupastaan. Veikkauksen edustajan mukaan päätös on ikävä, mutta se tullaan kiertämään jakamalla sovellusta suoraan Veikkauksen sivulta.

"Oma tietoturvaosaamisemme on huippuluokkaa, joten käyttäjien ei tarvitse huolestua, vaikka ohjelma jatkossa ladattaisiinkin muualta kuin virallisesta Play-kaupasta", rauhoittelee Veikkauksen viestintäpäällikkö Ari Räsänen. Ilmeisesti hän tarkoittaa tätä Pelit puhelimessa -sivua, jonka Android-linkki osoittaa yhä Play-kauppaan ja antaa siksi virheilmoituksen.

Räsänen rauhoittelee väärää asiaa. Ei ongelma ole itse sovelluksessa, se on ihan yhtä turvallista ladata Veikkauksen omalta sivulta kuin Googlen virallisesta sovelluskaupastakin. Mutta jotta latauksen voisi tehdä, pitää poistaa kaikkien turva-asetusten äiti ja sallia ohjelmien lataus epävirallisista lähteistä. Tähän asetukseen koskeminen on kuin oven avaaminen mobiilihaittaohjelmille.

Parasta olisi, jos taviskäyttäjät eivät edes tietäisi koko asetusta. Veikkauksen omalta sivulta ladattava sovellus pakottaa tutustumaan siihen ja vaarana on, että avaus jää pysyväksi. Silloin saatamme nähdä vakaviakin älypuhelinten haittaohjelmatapauksia. Tähän asti niitä ei ole käytännössä Suomessa ollut, vaikka turvaohjelmien ovatkin asiasta eri mieltä.

Googlen päätös poistaa veikkausohjelmat Play-kaupastaan on yllättävä, mutta se on linjassa yhtiön julkaiseman politiikan kanssa: sovelluskauppaan ei hyväksytä uhkapeliohjelmia, lapsipornoa eikä väkivalta- tai vihapuheohjelmia.

Applella vastaavaa kriteeriä ei ole ja siksi Veikkaus By Veikkaus löytyy yhä Appstoresta. Lataamiseen vaaditaan vähintään 17 vuoden ikä.

Googlen linja on terveellinen muistutus siitä, millainen valta amerikkalaisilla nettijäteillä on. Jos ne päättävät poistaa ohjelman jakelustaan, suomalaisilla käyttäjillä tai yhtiöllä ei ole siihen mitään sanomista - ei, vaikka kyse olisi valtionyhtiöstä.

Olemme jenkkiyhtiöiden armoilla.

S Photo Editor pelottaa Android-käyttäjiä

Lukija lähetti huolestuneena kysymyksen: onko Android-puhelimessani virus, kun se on alkanut käyttäytyä oudosti ja näyttää vieraita ilmoituksia? Lukija nimesi jopa epäillyn sovelluksen, jonka asentamisen jälkeen ongelmat olivat alkaneet: S Photo Editor.

Tässä hänen lähettämänsä ruutukuva:

Outoja mainoksia Androidissa

Neuvoin asentamaan ilmaisen Kasperskyn Antiviruksen, mutta mitään ei löytynyt.

Epäilty ohjelma S Photo Editor on suosittu, 10-50 miljoonaa latausta. Suuri latausmäärä herättää luottamusta -- ainakaan kyseessä ei ole mikään valeohjelma, joka pyrkisi keräämään latauksia toisen nimissä.

S Photo Editor mainostaa itseään "Mind-blowing photo editor"

Mutta onko siinä silti jotain haitallista? Se selviää vain kokeilemalla, joten latasin ohjelman itsekin testipuhelimeeni.

S Photo Editor asennetaan

Ohjelma haluaa kaikenlaisia oikeuksia, joiden ei luulisi liittyvän kuvankäsittelyyn. Tämä herättää jo lievästi epäilyksiä.

Ohjelma haluaa kaikenlaisia oikeuksia.

Käytön aikana ohjelma tyrkyttää itsestään maksullista versiota ja näyttää mainoksia (mikä kerrotaan jo ohjelman kuvauksessa: "sisältää mainoksia"), mutta mitään sen pahempaa ei tapahtunut. Testipuhelimessa ollut F-Securen SAFE ei liioin älähtänyt. Kun puhelin oli latauksessa, näytölle ilmestyi mainoksia:

Ohjelma korvaa näytön omallaan.

"Oh no!"

Jälkimmäisessä näytössä näkyy sama haamu kuin lukijan lähettämässä ilmoituslistassa. Ei ihme, että käyttäjä hämmentyy, kun puhelimen lukitusnäyttö on muuttunut aivan toiseksi. S Photo Editor rikkoo hyvän ohjelmointitavan rajat esittämällä mainoksia myös oman ikkunansa ulkopuolella, jopa lukitusnäytöllä ja ilmoituslistassa. Tekijä on kiinalainen, eikä siellä päin maailmaa olla turhan tarkkoja mainonnan eettisyydestä tai häiritsevyydestä. Mahdollisesti myös osoitekirjan sisältö ja muu kiinnostava siirtyy tekijän palvelimelle.

Tietoturvauutisten ja varoitusten pelottamat käyttäjät huolestuvat, kun puhelin alkaa käyttäytyä näin oudosti. Kyseessä on kuitenkin vain markkinointi. Mainoksista pääsee eroon maksamalla, tässä tapauksessa 1-27 euroa halutuista ominaisuuksista riippuen. Sinänsä ohjelma vaikutti oikein pätevältä, näyttäviä kuvamuokkauksia syntyy melkein itsestään.

Kaikki ei ole haittaohjelmaa, mikä huolettaa. Ja juuri sen vuoksi tietoturvauutisissa tulisi olla tarkkana eikä sortua ylilyönteihin.

F-Secure SAFE mobiiliuhkia vastaan

Vuoden 2016 marraskuussa epäilin virustorjunnan tarpeellisuutta älypuhelimessa ja joulukuussa kirjoitin lähes turhasta Gooligan-huolesta, mikä sai F-Securen edustajan älähtämään asiasta. Mustosen mielestä "Mobiilihaittaohjelmat ovat todellinen uhka, jolta ei välty edes pysyttelemällä virallisissa sovelluskaupoissa, kuten Applen App Storessa tai Googlen Google Playssa. Niissäkin on esiintynyt haitallisia sovelluksia".

Olen nyt ladannut ja ostanut Samsung S7-puhelimeeni SAFE-lisenssin vuodeksi tavallisen kuluttajan tapaan. Pientä sekaannusta herätti aluksi F-Securen Mobiiliturva, joka on vanha nimi, ja nykyinen SAFE korvaa sen.

Toinen hämmentävä seikka on hinnoittelu. F-Securen omalla sivulla tarjotaan vain kolmen (tai useamman) laitteen vuosilisenssiä 60 euron hintaan. Testikäytössä tuntui turhalta maksaa kolmesta, kun tarve kohdistui vain yhteen älypuhelimeen.

Lisenssi vähintään kolmeen laitteeseen?

Ostohetkellä palvelin kuitenkin tarjosi yhden laitteen lisenssiä ja vieläpä erikoishintaan:

Erikoistarjous 14,99 eur/v.

Ensimmäinen tarkistus antoi puhelimelle puhtaat paperit:

Ei viruksia.

Jatkossa voin siis nukkua yöni rauhassa :- ). Ohjelma itsessään on havainnollinen ja selkeä:

SAFE päävalikko.

Hallintanäyttö voisi olla värikkäämpi, mutta ehkä sinivalkoisuus on harkittu juttu?

Seuraan ohjelman toimintaa nyt vuoden ajan ja katson, antaako se hälytyksiä. Työni vuoksi kokeilen kaikenlaisia sovelluksia ja nettipalveluita, joten ohjelmalla riittää tarkistettavaa.

Tuoreimmat tietoturvauutiset ovat luonnollisesti pelottavia: Android-haittaohjelmasta vapaata riistaa - pankkitilejä tyhjennetään jo (ei tietenkään Suomessa) ja Latasi Google Playsta akunsäästäjän - sai harvinaisen härskin haittaohjelman. Jälkimmäinen uutinen on kiinnostava, koska siinä haitake on tullut Googlen virallisesta sovelluskaupasta. Nykytiedoilla pidän silti virusriskiä hyvin pienenä, varsinkin PC-maailmaan verrattuna.

Viestintäviraston Tietoturva nyt! -osio listaa 10 titeoturvanäkymää vuodelle 2017. Viimeinen kohta on otsikoitu Mobiililaitteiden tietoturvaa koetellaan. Sen alla on teksti: Vuoden 2017 aikana tullaan näkemään yhä laajempia ja kehittyneempiä mobiililaitteille suunnattuja haittaohjelmakampanjoita. Tähän asti suomalaiset käyttäjät ovat saaneet olla rauhassa, mutta ehkä tämä vuosi tuo muutoksen.

Palataan asiaan viimeistään vuoden päästä.

Lisäys 12.2.2018: Vuosi F-Securen mobiilin virusturvan kanssa.

Lisäys 15.2.2018: Nyt sen sanovat ääneen muutkin: suurin osa Android-virusuutisista on hevonpaskaa.

AMS Antivirus huijaus rahastaa kahdeksan euroa

Androidin aiheettomat virusvaroitukset ovat jo vanha juttu. Uusi kikka on periä niiden varjolla vielä rahaakin.

Blogin lukija oli ladannut puhelimeensa yhden monista Christmas Photo Frames -appseista. Ohjelma on ilmainen, mutta keskeyttää vähän väliä käytön koko ruudun täyttäviin mainoksiin.Yksi niistä on tällainen:

Virus detected scam.

Mitään virusta ei tietenkään ole, mutta käyttäjälle syntyy halu painaa Poista kaikki virukset. Samalla jää huomaamatta harmaalla taustalla näkyvä pieni teksti, jossa lukee "Hinta: €8,00 Asiakaspalvelu: +347226638191 | support@medianetpay.com Mobiilimaksu fortumo.com".

Painamisen jälkeen selain lataa sivun, jossa on html-koodiin upotettu sms-käsky. Puhelimesta riippuen (onko sms-tagi aiemmin kytketty johonkin sovellukseen vai ei) näytölle tulee lähetystä vaille valmis tekstiviesti:

Rahastusviesti valmiina lähetettäväksi.

Jos käyttäjä erehtyy painaman Lähetä, puhelin näyttää vielä yhden varoituksen:

Oletko varma että haluat lähettää?

Lähetä-painikkeen jälkeen tulee toinen tekstiviesti, jossa on lyhytlinkki http://bit.ly/AndDef, joka lataa 2,5 megatavun kokoisen android-defender.apk-paketin. Lyhytlinkkiä on ilmeisesti käytetty vain sivun oikean osoitteen piilottamiseen, sillä linkki on aina sama -- ja siksi 8 euron maksu on puhdasta rahastusta.

Toisin kuin PC-koneilla, netistä ladatun ohjelman asentaminen ei kuitenkaan onnistu:

Android estää asennuksen.

Vaara piilee kuitenkin ASETUKSET-painikkeen takana. Osaamaton käyttäjä saattaa kuvitella, että puhelimen asetukset ovat väärin, ja mennä asetusten kautta poistamaan ratkaisevan turvakeinon eli Tuntemattomat lähteet:

Älä muuta tätä asetusta!

Älä muuta Tuntemattomat lähteet -asetusta! Jos sen erehdyt tekemään, voit ladata puhelimeen vahingossa mitä tahansa haittaohjelmia.

En viitsinyt enää kokeilla, mitä AMS antivirus olisi asennettuna tehnyt. Luultavasti kyseessä on vain hyödytön tietoturvaohjelma, joka esittää lisää mainoksia tai pyytää vuosimaksua jo hukatun kahdeksan euron jatkoksi.

Mutta yhtä hyvin kyseessä voisi olla hyvinkin haitallinen ohjelma, joten tämä esimerkki toimii varoituksena laajemminkin älypuhelimen tietoturvallisuudesta.

Itsellä ei ole koneessa maksullista tietoturvaohjelmaa, joten olisi kiinnostavaa tietää, olisiko se jossain vaiheessa reagoinut tällä sivulla esitettyyn prosessiin ja estänyt uhria menettämästä kahdeksaa euroa. Epäilen, ettei. Google Playn tarkastus on hyödytön, koska huijaus tulee mainosverkoston kautta. Sen sijaan ladatun apk-ohjelman kohdalla se olisi saattanut älähtää ja pelastaa käyttäjän lisävahingoilta.

Tähän halpaan voi näköjään mennä myös iPhone-käyttäjä, sillä mainos ei erottele iOS- ja Android-käyttäjiä toisistaan. Silloin kyse on jo kaksinkertaisesta huijauksesta, sillä apk-tiedostoa ei voisi edes teoriassa asentaa iOS-puhelimeen.

Android-mainos näytetään myös iPhone-käyttäjälle

Luultavasti mainoksen jakelu on rajoitettu vain Android-käyttäjille, mutta web-sivu näyttää sisällön kaikille samalla tavalla eikä tutki selaimen versiota. Niinpä myös iPhone-käyttäjä voi päätyä lähettämään huomaamatta maksullisen tekstiviestin:

Ostit juuri 8 euron turhan Android-ohjelman.

iPhonen Safari-selain reagoi sms-tagiin jopa Android-selainta herkemmin, eikä näytä mitään varoituksia.

Vielä yksi havainto: F-Securen Freedome estää pääsyn mobitools-sivulle, josta AMS-ohjelma ladataan:

Freedome estää AMS-latauksen.

Varsinaista mainossivua (warning.mobile87.com) se ei kuitenkaan estä.

Gooligan lähes vaaraton Suomessa

Keskiviikkona käyttäjiä varoitettiin uudesta Android-haittaohjelmasta nimeltä Gooligan, joka leviää 13 000 puhelimen päivävauhdilla ja on murtanut jo miljoona Google-tiliä. Tuttuun tapaan uutisointi pelottelee käyttäjiä ja dramatisoi tilannetta. Tällä kertaa sitä ei voi laittaa yksin toimittajien syyksi, sillä uhkasta kertoneen tietoturvayhtiö Checkpointin omakin tiedote on epätarkka.

Uutisen mukaan vaarassa on 74 % Android-puhelimista. Määrä on saatu suoraan versionumeroista ja edustaa 4- sekä 5-version käyttäjien määrää. Todellinen riskiryhmä on merkittävästi pienempi, sillä päivitetyt puhelimet eivät ole vaarassa. Haittaohjelma ei käytä mitään uutta haavoittuvuutta vaan jo aiemmin tiedossa olleita, jotka monista puhelimista on paikattu.

Checkpointin mukaan 57 % uhreista on Aasiasta ja vain 9 % Euroopasta. Haitaketta on levitetty epävirallisten sovelluskauppojen kautta. CNN:n uutinen korostaa tätä suomalaisten kannalta keskeistä seikkaa, jonka kotimaiset uutiset lähes ohittavat.

Googlen mukaan haittaohjelman ei tiedetä varastaneen käyttäjien tietoja eikä sitä liioin tiedetä koskaan olleen Google Play-kaupan sovelluksissa: "There's no indication that any of the fraudulent apps containing the new Gooligan code have ever been available in the official Google Play Market." Jos tieto pitää paikkansa, suomalaisilla ei pitäisi olla huolta, sillä oletusarvona puhelimet lataavat sovelluksia vain Play-kaupasta. Asetusta voi muuttaa, mutta silloin Android näyttää selkeän varoituksen:

Älä muuta tätä asetusta!

Lisäksi Googlen Verify Apps-toiminnon pitäisi estää saastuneeksi tiedettyjen sovellusten käynnistys, olipa ne ladattu mistä kaupasta tahansa.

Arvoituksellista Checkpointin tiedotteessa on, että sen mukaan haittaohjelman voi saada myös tiedonkalasteluviestin linkkiä seuraamalla ("Gooligan-infected apps can also be installed using phishing scams where attackers broadcast links to infected apps to unsuspecting users via SMS or other messaging services"). Mekanismia ei kuvata sen tarkemmin. Normaalisti Androideissa ohjelmaa ei voi asentaa sen paremmin sähköpostin tiedostoliitteestä kuin web-sivultakaan.

Kaiken tämän perusteella suomalaisilla ei näyttävästä uutisoinnista huolimatta pitäisi olla riskiä saada tätä haittaohjelmaa. Ilta-Sanomien uutinen jättää onneksi pahimman turvahypetyksen pois.

Siitä huolimatta kerrotaan, että Suomessa on havaittu 70 tartuntaa, mutta tiedon lähdettä ei mainita. Jos joku lukijoista on saanut Gooliganin tai tuntee jonkun uhrin, olisi kiinnostavaa kuulla asiasta tarkemmin. Entä onko joku löytänyt sähköpostiosoitteensa Checkpointin tarjoamasta tarkistuspalvelusta?

Medioissa uutisointi perustuu turvayhtiöiden omaan tiedottamiseen, ja se on kaikkea muuta kuin neutraalia.

Lisäys 4.12.2016: Tietoturva-asiantuntija Harri Hursti pitää älypuhelimia vaarallisina ja sanoo, että ne voivat tuhota koko elämän. Lapsipornon ujuttaminen puhelimeen on "äärimmäisen helppoa". Hursti suosittelee puhelimeen virustorjuntaohjelmaa. Oma näkemykseni on erilainen: esimerkiksi pankkiasiointiin älypuhelin ja tabletti ovat kaikkein turvallisimpia tapoja, jopa turvallisempia kuin henkilökohtainen pankissa asiointi tai käteisen rahan säilytys ja käyttö. 

Mobiiliviruksia on liian vähän

Uutiset kertovat mobiiliviruksista, jotka vaarantavat käyttäjän tietoturvan. Tämän päivän Ilta-Sanomat varoittaa pankkitunnuksia urkkivasta haittaohjelmasta: "Ikävä tuulahdus pc-maailmasta: Puhelimen haittaohjelma urkkii pankkitunnukset ja estää torjuntakeinot".

Uutisessa ei kerrota, miten haittaohjelma pääsee puhelimeen. Vaikeaa sen täytyy olla, koska appseja voi asentaa vain Googlen tai Applen omasta sovelluskaupasta. Toisin kuin PC:ssä, sähköpostilla tulevia ohjelmia ei pysty asentamaan älypuhelimeen vaikka yrittäisi. Se siitä ikävästä tuulahduksesta PC-maailmasta.

Uutisen mukaan Asentuessaan se pyytää puhelimen pääkäyttäjän oikeuksia. Jos käyttäjä myöntää ne, Email-ikoni katoaa sovellusvalikosta. Tässä ei ole mitään järkeä. Android-järjestelmässä pääkäyttäjän oikeudet on vain järjestelmällä itsellään, eikä käyttäjä voi myöntää niitä kenellekään.

Vain suojaukset murtamalla (roottaus, iPhonessa jailbreaking) käyttäjä pystyy ohittamaan puhelimen suojaukset ja aiheuttamaan vahinkoa. Mutta jos osaa (ja viitsii) tehdä tämän, osaa varmaan suojautua myös viruksilta. Ainakaan silloin ei voi syyttää muita kuin itseään.

Ja jos jaksaa lukea jutun loppuun asti käy ilmi, että haittaohjelma on suunnattu saksalaisiin uhreihin. Vaara siis ohi. Lähteenä lienee ollut tämä sivu, joka ei sekään vastaa keskeisiin kysymyksiin.

Epätarkka, pelotteleva ja virheellinen tietoturvauutisointi on valitettavan yleistä. Ei ihme, jos käyttäjäparat ovat ihmeissään -- ja juuri tätä epävarmuutta tietoturvayhtiöt käyttävät hyödykseen.

Pahimmillaan torjuntaohjelmien tekijät sortuvat harhaanjohtavaan mainontaan ja käyttäjien pelotteluun käyttämällä esimerkiksi mainoksia, joissa ilmoitetaan viruksen kaapanneen puhelimen.

Kaspersky on alkanut tarjota tietoturvaohjelmansa ensimmäisen vuoden lisenssiä ilmaiseksi. Ilta-Sanomien haastattelussa yhtiön pohjoismaiden johtaja selittää asiaa näin: "markkinat ovat vielä jakamatta, ja kyseessä on keino saada asiakkaita uudella markkinalla".

Ainakin markkinointijohtaja on rehellinen. Kyse on markkinaosuuden hankkimisesta alalla, josta odotetaan tulevaa kasvua. Johtaja ennustaa, että kahden vuoden aikana yli puolet ihmisistä alkaa käyttää tietoturvaohjelmaa Android-puhelimissa. Lisäksi tietoturvasta tulee myyntiargumentti, jota aletaan käyttää mainonnasta.

Jälkimmäinen on helppo uskoa, ensimmäistä epäilen. Tietoturvayhtiöt ovat ennustaneet mobiilivirusten tuloa jo usean vuoden ajan, mutta yhtään epidemiaa Suomessa ei ole tullut tietooni. Yhtiöiden kannalta mobiiliviruksia on edelleen aivan liian vähän. Ongelmia ovat sen sijaan tuottaneet turva-aukot ja valeohjelmat, mutta ensimmäisiin turvaohjelmat eivät juuri auta ja jälkimmäiset (yleensä pelit tai muut hupiohjelmat) poistetaan Google Play / Applen Appstore-kaupasta nopeasti.

Mutta Kaspersky yrittää parhaansa ja jokainen kiinnostunut voi hakea sen ilmaiseksi testiin Google Play -kaupasta.

Tarkistus.

Ensimmäisellä tarkistuksella Kaspersky antoi puhtaat paperit:

"Uhkia ei havaittu".

Kuitenkin jo seuraavana päivänä tuloksena oli seitsemän ongelmaa:

"7 uhkaa havaittu".

Mitä ne ongelmat olivat? Sitä ohjelma ei kerro. Pitäisi ilmeisesti ostaa ohjelman kaupallinen versio, jotta saisi tietää. En viitsi, sillä epäilen "uhkien" olevan lähinnä teoreettisia.

Tämän päivän tilanteessa älypuhelimen tietoturvaohjelmasta on vain vähän hyötyä. Voi olla, että tilanne on parin vuoden päästä toinen, mutta se edellyttää haittaohjelmien tekijöiltä jotain aivan uutta tekniikkaa.

Älä mene halpaan: Android-puhelin varoittaa muka viruksista

Käyttäjä pelästyy varmasti, kun Android-puhelin kertoo saaneensa virustartunnan:

Virus detected!

Varoitus voi tulla myös suomeksi:

Ja sama suomeksi.

Kyse ei ole viruksista vaan harhaanjohtavasta markkinoinnista. Ilmoitusikkunat ovat mainoksia, jotka yrittävät saada käyttäjän lataamaan torjuntaohjelman Google Play -kaupasta. Samanlainen pelottelutaktiikka on käytössä PC-puolella, ikävä kyllä se näyttää levinneen myös mobiilimaailmaan.

Yllä olevien kuvien "virukset" on helppo tunnistaa mainoksiksi, mutta entäpä nämä kesken surffauksen ilmestyvät varoitukset:

Lisää virusvaroituksia.

Tai tämä:

Tämäkään ei ole aito virus.

Kaikki kyseenalainen mainonta johtaa yhteen ja samaan ohjelmaan, kiinalaiseen 360 Securityyn:

360 Security - Antivirus Boost

Ilmeisesti mainokset ovat tehonneet, sillä latauksia on yli 50 miljoonaa. Kommenteissa ohjelmaa kehutaan (jopa selvällä suomen kielellä) ja sen kerrotaan poistaneen viruksia sekä nopeuttaneen puhelimen toimintaa.

Erikoisinta on, että Qihoo 360 on New Yorkin pörssissä noteerattu yhtiö, joskin sen kurssikehitys on ollut laskeva ja osakkeen arvo vajaa puolet vuoden takaisesta huippuarvosta. Ehkä juuri siinä on syy epätoivoiseen ja epäeettiseen pelottelumarkkinointiin?

360 Security käytössä.

Kokeiluni perusteella 360 Security ei vaikuta haitalliselta, kuten monet itseään tyrkyttävät apuohjelmat usein ovat. Tekijä ei vaadi rahaa sillä ohjelma on aidosti ilmainen. Toisaalta en ole vakuuttunut myöskään sen hyödyllisyydestä -- älypuhelimen virustorjunta on useimmille käyttäjille turhaa. Olisi kiinnostavaa tietää, kuinka moni Android-viruksen saaneista onkin todellisuudessa saanut vain ohjelman mainoksen.

Enkä periaatteellisista syistä ikinä käyttäisi ohjelmaa, joka mainostaa itseään valheellisilla varoituksilla.

Lisäys 2.12.2016: kommenteissa on ihmetelty ask.fm -palvelun näyttämiä pelotemainoksia, joten lainaan tähän Afterdawn-sivustolla olleen ruutukuvan asiasta:

"Puhelimessa on vakava virus" - ja pöh!

Mainoksen mukaan "Puhelimessa on vakavia virus", "Jos et poista virus, puhelin on pahoin vaurioitunut" ja painike "Nyt poistaa viruksen!". Googlen logon käyttö tällaisessa yhteydessä pitäisi riittää ohjelman poistamiseen Play-kaupasta.

Tällä kertaa mainos vie Alpha Security -tietoturvaohjelman lataukseen. En suosittele lataamaan ohjelmaa, jota mainostetaan valheellisella käyttäjien pelottelulla.