ProSpy Spyware
Cybersecurityonderzoekers hebben een geavanceerde Android-spywarecampagne ontdekt, genaamd ProSpy, die zich specifiek richt op gebruikers in de Verenigde Arabische Emiraten (VAE) door populaire berichtenapps zoals Signal en ToTok te imiteren. De campagne maakt gebruik van misleidende tactieken om gebruikers te verleiden schadelijke software te installeren en zo de officiële app-stores te omzeilen.
Inhoudsopgave
Hoe ProSpy zich verspreidt
De ProSpy-malware wordt verspreid via nepwebsites en social engineering-technieken, waardoor gebruikers worden aangemoedigd om handmatig gecompromitteerde APK-bestanden te downloaden en te installeren. Deze apps zijn niet beschikbaar in legitieme app stores, waardoor handmatige installatie via externe bronnen een vereiste is.
De campagne, die voor het eerst werd geïdentificeerd in juni 2025 en vermoedelijk al sinds 2024 actief is, maakt gebruik van websites die zich voordoen als Signal en ToTok om APK-bestanden met boobytraps aan te bieden. Deze bestanden worden misleidend gepresenteerd als upgrades, met namen als Signal Encryption Plugin en ToTok Pro.
Historische context: waarom ToTok een doelwit was
Het gebruik van ToTok als lokaas is bijzonder strategisch. ToTok werd in december 2019 verwijderd uit Google Play en de Apple App Store vanwege beschuldigingen dat het als een surveillancetool voor de overheid van de VAE fungeerde en gesprekken, locatiegegevens en andere persoonlijke informatie van gebruikers verzamelde.
De ontwikkelaars van ToTok hebben deze beweringen steeds ontkend. Ze zien het verwijderen van de app als marktmanipulatie en beweren dat de software zijn gebruikers niet bespioneert.
Mogelijkheden van kwaadaardige apps
De ProSpy-apps zijn ontworpen om uitgebreide apparaatmachtigingen aan te vragen, waaronder toegang tot:
- Contacten
- SMS-berichten
- Bestanden opgeslagen op het apparaat
De spyware kan gevoelige gegevens exfiltreren, waaronder apparaatgegevens, chatback-ups en lijsten met geïnstalleerde applicaties. Onderzoekers hebben ook de aanwezigheid opgemerkt van een andere Android-spywarefamilie die tegelijkertijd in de regio actief was, wat wijst op een gecoördineerde aanval.
Misleidende omleiding om kwaadaardige activiteiten te maskeren
De campagne maakt gebruik van slimme omleidingstactieken die de legitimiteit van de apps versterken:
ToTok Pro
Plugin voor signaalversleuteling
- Deze app bevat een 'INSCHAKELEN'-knop die gebruikers naar de officiële Signal-website leidt.
- Nadat de toestemmingen zijn verleend, wordt het pictogram van de frauduleuze app vermomd als Google Play Services, waardoor de aanwezigheid ervan nog verder wordt gemaskeerd.
- Ongeacht de app vindt er stilletjes data-exfiltratie plaats voordat gebruikers op de omleidingsknoppen klikken, waardoor contacten, berichten, bestanden en andere gevoelige informatie in gevaar komen.
Regionale impact en veiligheidsimplicaties
De ProSpy-campagne benadrukt de risico's van het handmatig installeren van apps van niet-officiële bronnen en de aanhoudende bedreigingen die gericht zijn op gebruikers in de VAE. Dergelijke campagnes laten zien hoe cybercriminelen zowel historische controverses als vertrouwen in populaire apps misbruiken om apparaten te infiltreren en gegevens te stelen.
