--- id: CP-093 slug: sideloading-apps-buiten-de-stores lang: nl title: Sideloading op mobiele apparaten description: Een app die buiten de officiële stores is geïnstalleerd, kan wachtwoorden en sms-berichten stelen. Wat u ziet, hoe het werkt, wat u doet. canonical_url: https://startbrain.io/cyberpedia/nl/articles/sideloading-apps-buiten-de-stores/ markdown_url: https://startbrain.io/cyberpedia/nl/articles/sideloading-apps-buiten-de-stores.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, “Sideloading op mobiele apparaten”, Cyberpedia, 2026. https://startbrain.io/cyberpedia/nl/articles/sideloading-apps-buiten-de-stores/ (CC BY 4.0) wing: 1 theme: secure_devices reflex: cr-071 schema: G3 updated: "2026-11-03" translations: nl: https://startbrain.io/cyberpedia/nl/articles/sideloading-apps-buiten-de-stores/ fr: https://startbrain.io/cyberpedia/fr/articles/sideloading-applications-hors-magasins/ en: https://startbrain.io/cyberpedia/en/articles/mobile-app-sideloading/ de: https://startbrain.io/cyberpedia/de/articles/sideloading-apps-ausserhalb-der-stores/ es: https://startbrain.io/cyberpedia/es/articles/sideloading-aplicaciones-fuera-de-las-tiendas/ it: https://startbrain.io/cyberpedia/it/articles/sideloading-app-fuori-dagli-store/ sources: - "n": 1 title: Masquerade as Legitimate Application, Technique T1444 - Mobile | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1444/ accessed: "2026-11-03" - "n": 2 title: Deliver Malicious App via Authorized App Store, Technique T1475 - Mobile | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1475/ accessed: "2026-11-03" - "n": 3 title: Cerberus, Software S0480 | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/software/S0480/ accessed: "2026-11-03" - "n": 4 title: "Input Capture: GUI Input Capture, Sub-technique T1417.002 - Mobile | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1417/002/ accessed: "2026-11-03" - "n": 5 title: Abuse Elevation Control Mechanism, Technique T1626 - Mobile | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1626/ accessed: "2026-11-03" - "n": 6 title: Hide Artifacts, Technique T1628 - Mobile | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1628/ accessed: "2026-11-03" - "n": 7 title: Input Capture, Technique T1417 - Mobile | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1417/ accessed: "2026-11-03" - "n": 8 title: Exploitation for Privilege Escalation, Technique T1404 - Mobile | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1404/ accessed: "2026-11-03" - "n": 9 title: BusyGasper, Software S0655 | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/software/S0655/ accessed: "2026-11-03" - "n": 10 title: Stored Application Data, Technique T1409 - Mobile | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1409/ accessed: "2026-11-03" --- # Sideloading op mobiele apparaten Op een zakelijke of privételefoon komen apps normaal gesproken uit een officiële store, zoals Google Play of de App Store. In dit artikel betekent sideloading dat een app via een andere weg dan die store wordt geïnstalleerd. Omdat mobiele apparaten vaak zo zijn ingesteld dat ze alleen de goedgekeurde store accepteren [2], moet de aanvaller het slachtoffer overhalen buiten dat kader te treden. MITRE beschrijft de methode: malware verspreiden door die als legitieme applicatie te laten doorgaan [1]. Dit artikel gaat uit van het perspectief van de medewerker. De bronnen in het dossier zijn de technische pagina's van MITRE ATT&CK. Ze beschrijven de methoden van aanvallers op Android en iOS, maar bevatten geen statistieken over sideloading. ## In 30 seconden - Waar het gebeurt: op een website die vraagt software te installeren, zoals een nep-installatieprogramma [3], en op een apparaat waar de aanvaller fysiek bij kan [9]. - Wat de aanvaller wil: een boobytrapte app laten installeren en die daarna uitgebreide rechten laten krijgen om inloggegevens en berichtgegevens te stelen [3][4][9]. - De reflex: installeer alleen vanuit de officiële store en weiger elk verzoek om toegankelijkheids- of apparaatbeheerdersrechten waar u zelf niet naar op zoek was. - Als het al gebeurd is: waarschuw de IT-helpdesk meteen en voer op die telefoon geen wachtwoord in. ## Directe vragen ### Wat is sideloading? Het is het installeren van een app zonder de goedgekeurde store van het apparaat te gebruiken. MITRE merkt op dat mobiele apparaten vaak zo zijn ingesteld dat ze alleen installaties vanuit een goedgekeurde store toestaan, zoals de Google Play Store of de Apple App Store [2]. Een aanvaller die zijn app daar niet kan plaatsen, moet het slachtoffer overhalen de app elders op te halen. ### Beschermt de officiële store volledig? Niet volledig: MITRE beschrijft ook het geval waarin de aanvaller de kwaadaardige app in een goedgekeurde store probeert te plaatsen, zodat die op de beoogde apparaten kan worden geïnstalleerd [2]. De twee MITRE-pagina's over dit onderwerp bevatten een waarschuwing dat ze verouderd zijn, maar hun inhoud beschrijft beide wegen wel [1][2]. ### Hoe wordt een medewerker ertoe gebracht de app te installeren? De bronnen beschrijven twee listen. De eerste is de software laten doorgaan voor een legitieme applicatie, door haar in een echte applicatie te verwerken of haar uiterlijk na te bootsen [1]. De tweede loopt via een website die uitnodigt bekende software te installeren: de Cerberus-trojan is verspreid via sites die de gebruiker aanspoorden om "install Adobe Flash Player" te doen en een kwaadaardige APK downloadden [3]. ### Welke toestemmingen vraagt de app? De bronnen noemen toegankelijkheidsrechten en rechten als apparaatbeheerder. Kwaadaardige apps misbruiken de toegankelijkheidsfunctie van Android om te weten welke app op de voorgrond staat [4]. Over beheerdersrechten merkt MITRE op dat apps die zeer zelden nodig hebben, en raadt ontwikkelaars af dit toegangsniveau te gebruiken [5]. ### Blijft de geïnstalleerde app zichtbaar? Niet noodzakelijk. MITRE legt uit dat mobiele systemen interfaces hebben om onderdelen te verbergen, zoals het pictogram van een app, en dat aanvallers die misbruiken [6]. De pagina over input capture vraagt gebruikers om op hun hoede te zijn voor gevaarlijke toestemmingen, zoals toegang tot de toegankelijkheidsfunctie [7]. Andere aanvallers benutten kwetsbaarheden in het systeem om hogere rechten te krijgen [8]. ### Is fysieke toegang tot het apparaat nodig om het te infecteren? In het gedocumenteerde geval van BusyGasper wel: deze spyware infecteerde zijn slachtoffers via fysieke toegang tot het apparaat [9]. ## In de huid van de aanvaller De aanvaller heeft een obstakel: het apparaat is vaak zo ingesteld dat het alleen de goedgekeurde store accepteert [2]. Hij heeft een geloofwaardig voorwendsel nodig, en de bronnen noemen er een: de naam en het uiterlijk van een bekende app [4]. Bij Cerberus is dat een nep-installatieprogramma van Adobe Flash Player [3]. Zodra de app op het apparaat staat, is het eerste doel rechten te krijgen. Cerberus kan invoer injecteren om zichzelf extra toestemmingen te geven zonder tussenkomst van de gebruiker en om te voorkomen dat de app wordt verwijderd [3]. Daarna volgen het verzamelen van gegevens en het onopvallend blijven: de aanvaller wil sms-berichten lezen, de contacten en de lijst met apps ophalen en vervolgens nepschermen tonen boven de apps die de aanvaller heeft aangewezen [3]. De bronnen beschrijven ook aanvallers die het systeem zelf aanvallen. Sommigen benutten kwetsbaarheden in het besturingssysteem om van een beperkt toegangsniveau over te gaan naar superuserrechten (root) [8]. MITRE noemt Pegasus voor Android, dat bekende kwetsbaarheden in Android probeert te benutten, en Pegasus voor iOS, dat kwetsbaarheden in iOS benut [8]. ## Wat u op het scherm ziet Het slachtoffer ziet eerst de pagina of het bericht dat uitnodigt software te installeren. De bronnen in het dossier beschrijven de installatiewaarschuwing van het apparaat niet, dus die stap wordt hier niet uitgewerkt. Na de installatie zijn er door de opzet weinig tekenen. MITRE legt uit dat mobiele systemen interfaces bieden om onderdelen te verbergen, zoals het pictogram van een app, en dat die interfaces legitiem gebruik kennen dat aanvallers misbruiken [6]. Cerberus verbergt zijn pictogram in het app-overzicht na de eerste start [3]. BusyGasper zet de schermhelderheid op het minimum en dempt het geluid wanneer het actief is [9]. Het meest zichtbare teken is een valse invoerprompt. MITRE legt uit dat kwaadaardige apps elementen van de systeeminterface nabootsen om gevoelige gegevens te vragen, en dat het kleine scherm van een mobiel apparaat het controleren van de context bemoeilijkt [4]. Ze kunnen ook valse meldingen sturen die bij aanraking een prompt openen [4]. Ten slotte kan een prompt boven een legitieme app verschijnen [4]. ## Onder de motorkap De bronnen beschrijven eerst overlay en toegankelijkheid, daarna persistentie. - Overlay: de app tekent een venster boven een andere app. Ze moet de toestemming SYSTEM_ALERT_WINDOW hebben, die volgens MITRE, althans onder bepaalde voorwaarden, automatisch wordt verleend aan apps die vanuit Google Play zijn geïnstalleerd [4]. Android 10 beperkt het starten van een activiteit boven een andere app [4]. Android 12 voegt de toestemming HIDE_OVERLAY_WINDOWS toe, waarmee die vensters kunnen worden verborgen [7]. - Toegankelijkheid: door misbruik kan worden achterhaald welke app op de voorgrond staat [4]. MITRE wijst ook op apps die toetsaanslagen opnemen of informatie over schermgebaren vastleggen [7]. - Persistentie: Cerberus schakelt Google Play Protect uit om niet te worden ontdekt en later verwijderd [3]. Het kan zijn code op commando bijwerken [3]. MITRE preciseert verder dat de afscherming tussen apps de toegang tot de gegevens van een andere app beperkt, behalve in drie gevallen: onbeveiligde externe opslag, interne opslag met zwakke toestemmingen, of het verkrijgen van rootrechten [10]. ## Incidentanalyses ### Cerberus, een verhuurde bank-trojan Cerberus is een bank-trojan voor Android waarvan het gebruik op ondergrondse fora wordt verhuurd [3]. De makers beweren hem twee jaar privé te hebben gebruikt voordat hij te huur werd aangeboden [3]. De referenties op de MITRE-pagina omvatten een rapport van ThreatFabric uit augustus 2019 en een artikel van 16 augustus 2019 over valse installatieprogramma's van Adobe Flash Player [3]. De software kon sms-berichten lezen, de contacten en de lijst met apps ophalen, valse meldingen genereren en overlay-aanvallen uitvoeren op de apps die de aanvaller had aangewezen [3]. ### BusyGasper, spyware (sinds mei 2016) BusyGasper is Android-spyware die sinds mei 2016 wordt gebruikt [9]. Er zijn minder dan tien slachtoffers bekend, ogenschijnlijk allemaal in Rusland, en allemaal geïnfecteerd via fysieke toegang tot het apparaat [9]. Het kan geluid en camera opnemen, foto's en browsergeschiedenis kopiëren, en sms-berichten en gegevens van WhatsApp, Viber en Facebook lezen [9]. De referentie op de pagina is een artikel van Alexey Firsh van 29 augustus 2018 [9]. ## Wat u doet - Installeer alleen vanuit de officiële store van het apparaat. Een uitnodiging om een bestand of een "installatieprogramma" van een website te downloaden is verdacht, ook voor bekende software [3]. - Weiger toegankelijkheids-, toetsenbord- of beheerdersrechten die een app zonder duidelijke reden vraagt. MITRE raadt gebruikers aan op hun hoede te zijn voor gevaarlijke of opdringerige toestemmingen, zoals het registreren van een toetsenbord of toegang tot de toegankelijkheidsfunctie [7]. - Houd uw telefoon vergrendeld en binnen handbereik: een gedocumenteerd geval begint met fysieke toegang [9]. - Werk het systeem bij: sommige beveiligingen, zoals de beperkingen van Android 10 en Android 12, hangen af van de versie [4][7]. - Op een beheerd apparaat kan het bedrijf de toegestane toegankelijkheidsdiensten beperken met een expliciete lijst, via een hulpmiddel voor apparaatbeheer (EMM of MDM) [7]. ## De valkuilen De officiële store is geen volledige garantie [2]. Een kwaadaardige app kan ook haar pictogram verbergen, dus het ontbreken van een verdacht pictogram bewijst niets [6]. MITRE schrijft dat dit soort techniek niet gemakkelijk met preventieve maatregelen te bestrijden is, omdat ze functies van het systeem misbruikt [6]. Een beveiligingsinstelling die verandert zonder dat u iets doet, is een signaal: Cerberus schakelt Google Play Protect uit [3]. Neem in dat geval, of als een onbekende app uitgebreide rechten vraagt, contact op met de helpdesk. ## Bronnen 1. MITRE ATT&CK, “Masquerade as Legitimate Application, Technique T1444 - Mobile | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1444/ (geraadpleegd op 3 november 2026) 2. MITRE ATT&CK, “Deliver Malicious App via Authorized App Store, Technique T1475 - Mobile | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1475/ (geraadpleegd op 3 november 2026) 3. MITRE ATT&CK, “Cerberus, Software S0480 | MITRE ATT&CK®”. https://attack.mitre.org/software/S0480/ (geraadpleegd op 3 november 2026) 4. MITRE ATT&CK, “Input Capture: GUI Input Capture, Sub-technique T1417.002 - Mobile | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1417/002/ (geraadpleegd op 3 november 2026) 5. MITRE ATT&CK, “Abuse Elevation Control Mechanism, Technique T1626 - Mobile | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1626/ (geraadpleegd op 3 november 2026) 6. MITRE ATT&CK, “Hide Artifacts, Technique T1628 - Mobile | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1628/ (geraadpleegd op 3 november 2026) 7. MITRE ATT&CK, “Input Capture, Technique T1417 - Mobile | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1417/ (geraadpleegd op 3 november 2026) 8. MITRE ATT&CK, “Exploitation for Privilege Escalation, Technique T1404 - Mobile | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1404/ (geraadpleegd op 3 november 2026) 9. MITRE ATT&CK, “BusyGasper, Software S0655 | MITRE ATT&CK®”. https://attack.mitre.org/software/S0655/ (geraadpleegd op 3 november 2026) 10. MITRE ATT&CK, “Stored Application Data, Technique T1409 - Mobile | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1409/ (geraadpleegd op 3 november 2026) --- Oorspronkelijke bron: Cyberpedia, de openbare encyclopedie over cyberveiligheid en AI van Brain. Canonieke versie: https://startbrain.io/cyberpedia/nl/articles/sideloading-apps-buiten-de-stores/ U mag deze tekst vrij hergebruiken onder de licentie CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), mits u “Brain, Cyberpedia” vermeldt met een link naar bovenstaand adres.