Ny Android-malware truer enheder direkte fra fabrikken

Kaspersky har identificeret en ny type malware, der kan være præinstalleret på Android-enheder eller gemt i systemapps og Google Play

17. februar 2026 Lars Bennetzen Nye nyheder, Nyhedsbrev, Sikkerhed, Tophistorier
Illustration: Gemini (AI)

Sikkerhedsfirmaet Kaspersky har opdaget en ny omfattende trussel mod Android-platformen. Malwaren, der har fået navnet Keenadu, adskiller sig fra mange traditionelle virusser ved sin evne til at infiltrere enheder på flere niveauer, herunder direkte i firmwaren, før forbrugeren overhovedet har pakket produktet ud.

Ifølge opgørelser fra februar 2026 har Kaspersky allerede registreret over 13.000 inficerede enheder. Selvom de hårdest ramte lande tæller Rusland, Japan og Brasilien, er der også konstateret infektioner i vores nærområder som Tyskland og Holland.

Dybt integreret i systemet

Keenadu optræder i forskellige varianter, hvoraf den mest indgribende er integration direkte i enhedens firmware. Det vurderes at ske på et tidspunkt i forsyningskæden under produktionen af visse Android-tablets.

Når malwaren ligger i firmwaren, fungerer den som en såkaldt bagdør, der giver bagmændene fuld kontrol over enheden. Det betyder i praksis, at malwaren kan:

  • Inficere alle installerede apps.
  • Installere nye apps via APK-filer og tildele dem alle tilladelser.
  • Tilgå data som beskeder, mediefiler, bankoplysninger og lokationsdata.
  • Overvåge søgninger foretaget i Chrome, selv i inkognito-tilstand.

Interessant nok indeholder koden specifikke begrænsninger. Malwaren aktiveres ikke, hvis enheden er indstillet til kinesisk sprog og tidszone, eller hvis enheden mangler Google Play Store og Google Play Services.

Systemapps og ansigtsgenkendelse

Udover firmware-infektioner er Keenadu også fundet indlejret i systemapplikationer. Her er rettighederne typisk mere begrænsede end ved firmware-varianten, men da systemapps har udvidede privilegier, udgør det stadig en risiko.

Kaspersky har blandt andet fundet malwaren i den software, der håndterer ansigtsgenkendelse ved oplåsning af enheden, hvilket teoretisk giver angriberne mulighed for at opsnappe biometriske data. Også startskærms-applikationer (launchers) har været ramt.

Fundet i Google Play

Distributionen begrænser sig ikke til produktionsleddet. Sikkerhedsfirmaet har fundet inficerede apps til styring af smart home-kameraer direkte i Google Play Store. Disse applikationer er downloadet over 300.000 gange.

De inficerede apps benyttes primært til annonce-svindel, hvor enheden i baggrunden åbner usynlige browserfaner og klikker på reklamer uden brugerens viden. De pågældende apps er nu fjernet fra Google Play.

Sikkerhedsforsker Dmitry Kalinin fra Kaspersky udtaler om fundet:

As our recent research showed, preinstalled malware is a pressing issue on multiple Android devices. Without any actions on the user side, a device can be infected right out of the box. It is important for users to understand this risk and use security solutions that can detect this type of malware.

Vendors likely didn’t know about the supply chain compromise that resulted in Keenadu infiltrating devices, as the malware was imitating legitimate system components. It is important to check every stage of the production process to ensure that device firmware is not infected.

Sikkerhedsforsker Dmitry Kalinin fra Kaspersky

Det anbefales generelt at holde enhedens firmware opdateret og benytte sikkerhedssoftware til scanning af systemet. Hvis en systemapp er inficeret, bør den deaktiveres.

Relaterede Artikler

Nyheder fra gl. site

Emotet-botnettet er blevet mindre aktivt i Danmark

15. marts 2022 Lars Bennetzen Nyheder fra gl. site, Nyhedsbrev, Sikkerhed, Tophistorier
Check Point Research har netop offentliggjort den seneste Global Threat Index-rapport for februar 2022. Den viser, at Emotet stadig er den største cybertrussel mod virksomheder – både globalt og i Danmark. Rapporten afdækker dog også, at antallet af danske virksomheder, der blev ramt af Emotet-botnettet i februar, faldt til knap 11 pct., hvor det var hele 18 pct. i januar måned.  På den ene side er det glædeligt, at Emotet ikke længere rammer så mange danske virksomheder, som de gjorde i januar. Omvendt bliver danske virksomheder i langt højere grad ramt af netop dette botnet end deres udenlandske kollegaer, da Emotet kun har ramt 5 pct. af alle virksomheder globalt. Derfor skal danske virksomheder stadig være meget opmærksomme på denne cybertrussel. Niels Zimmer Poulsen, Head of Security Engineering hos Check Point Software Technologies i Danmark Check Point Software Technologies’ rapport viser desuden, at Trickbot-malwaren er blevet væsentligt mindre aktiv i februar og er i det seneste Global Threat Index henvist til en niende plads. Det til trods for, at netop denne malware var den største cybertrussel i adskillige måneder i 2021. Vores analytikere har gennem de seneste uger ikke set nogle nye Trickbot-kampagner, og denne cybertrussel er der derfor blevet betydeligt mindre. Inaktiviteten kan muligvis skyldes, at medlemmer af Trickbot-gruppen er skiftet til den berygtede Conti ransomware-gruppe, hvilket også bliver afdækket i et datalæk fra Conti. Dog er det for tidligt at lægge Trickbot i graven, for vi har før set grupper genopstå med fornyet kraft. Det er Emotet et …. (læs mere her)
Laptops

Fra Apple til Android – min laptop

7. januar 2021 Lars Bennetzen Laptops, Nyhedsbrev, Tilbehør, Tophistorier, Udvalgte artikler, Videoer
Endelig kom jeg videre i serien om mit forsøg på at flytte fra Apples univers over til Android/Windows. I ved allerede, at det ikke just er fordi det har gået helt fantastisk og problemfrit for mig. Men nu er tiden kommet til at evaluere lidt mere på udstyret. Og denne gang er det min Lenovo laptop jeg kigger på. Denne video handler om tastaturet og batterilevetiden.Den ene er jeg glad for, den anden er jeg meget utilfreds med. Tjek videoen og lad mig endelig høre om du er enig med mig.
Nyheder fra gl. site

Cyberkriminelle gemmer sig bag trusler om sagsanlæg

9. december 2022 Lars Bennetzen Nyheder fra gl. site, Nyhedsbrev, Sikkerhed, Tophistorier
Truslen om et sagsanlæg kan gøre enhver nervøs. Og hvis truslen kommer med et link til påstået bevismateriale, ville de fleste nok klikke på det for at se det med egne øjne. Desværre klapper fælden i netop i det øjeblik. IcedID-malwaren downloader og cyberkriminelle får kontrol over den kompromitterede maskine. I den seneste Emerging Threats Protection-rapport har Logpoint Global Services undersøgt bank-trojaneren IcedID ved at analysere malware-prøver. Rapporten afslører, at cyberkriminelle leverer IcedID på mange forskellige måder, hvor social-engineering-taktikker krydres med trusler om sagsanlæg og forfalskede fakturaer.  Selve IcedID-malwaren har en kompliceret adfærd. Den har nemlig udviklet sig fra at være en bank-trojaner, der stjæler finansielle data til en indledende adgang for mere sofistikerede og ødelæggende cyberangreb. Faktisk er IcedID nu en af de mest udbredte ransomware-familier overhovedet – kun overgået af Emotet. IcedID er et glimrende eksempel på, at cyberkriminelle stadig bruger traditionelle malware-payloads for at nå deres mål, selvom de bruger mere sofistikerede strategier. Det er afgørende at være i stand til at opdage IcedID, hvis man skal gøre sig håb om at stoppe sådan et ransomware-angreb, før der sker uoprettelig skade. Doron Davidson, VP Logpoint Global Services For at beskytte din organisation imod IcedID, anbefaler Doron Davidson: Du kan læse mere om IcedID her og få adgang til den fulde Emerging Threats Protection-rapport IcedID – Hunting, Preventing, and Responding to IcedID Malware Using Logpoint.