Cyberpediadoor Brain
NLDEENESFRIT

Sideloading op mobiele apparaten

Een app die buiten de officiële stores is geïnstalleerd, kan wachtwoorden en sms-berichten stelen. Wat u ziet, hoe het werkt, wat u doet.

In 30 seconden

Waar het gebeurt
Op een website die vraagt software te installeren, zoals een nep-installatieprogramma3, en op een apparaat waar de aanvaller fysiek bij kan9.
Wat de aanvaller wil
Een boobytrapte app laten installeren en die daarna uitgebreide rechten laten krijgen om inloggegevens en berichtgegevens te stelen349.
De reflex
Installeer alleen vanuit de officiële store en weiger elk verzoek om toegankelijkheids- of apparaatbeheerdersrechten waar u zelf niet naar op zoek was.
Als het al gebeurd is
Waarschuw de IT-helpdesk meteen en voer op die telefoon geen wachtwoord in.

Waar gaat het over

Op een zakelijke of privételefoon komen apps normaal gesproken uit een officiële store, zoals Google Play of de App Store. In dit artikel betekent sideloading dat een app via een andere weg dan die store wordt geïnstalleerd. Omdat mobiele apparaten vaak zo zijn ingesteld dat ze alleen de goedgekeurde store accepteren2, moet de aanvaller het slachtoffer overhalen buiten dat kader te treden. MITRE beschrijft de methode: malware verspreiden door die als legitieme applicatie te laten doorgaan1.

Dit artikel gaat uit van het perspectief van de medewerker. De bronnen in het dossier zijn de technische pagina's van MITRE ATT&CK. Ze beschrijven de methoden van aanvallers op Android en iOS, maar bevatten geen statistieken over sideloading.

Directe vragen

Wat is sideloading?

Het is het installeren van een app zonder de goedgekeurde store van het apparaat te gebruiken. MITRE merkt op dat mobiele apparaten vaak zo zijn ingesteld dat ze alleen installaties vanuit een goedgekeurde store toestaan, zoals de Google Play Store of de Apple App Store2. Een aanvaller die zijn app daar niet kan plaatsen, moet het slachtoffer overhalen de app elders op te halen.

Beschermt de officiële store volledig?

Niet volledig: MITRE beschrijft ook het geval waarin de aanvaller de kwaadaardige app in een goedgekeurde store probeert te plaatsen, zodat die op de beoogde apparaten kan worden geïnstalleerd2. De twee MITRE-pagina's over dit onderwerp bevatten een waarschuwing dat ze verouderd zijn, maar hun inhoud beschrijft beide wegen wel12.

Hoe wordt een medewerker ertoe gebracht de app te installeren?

De bronnen beschrijven twee listen. De eerste is de software laten doorgaan voor een legitieme applicatie, door haar in een echte applicatie te verwerken of haar uiterlijk na te bootsen1. De tweede loopt via een website die uitnodigt bekende software te installeren: de Cerberus-trojan is verspreid via sites die de gebruiker aanspoorden om "install Adobe Flash Player" te doen en een kwaadaardige APK downloadden3.

Welke toestemmingen vraagt de app?

De bronnen noemen toegankelijkheidsrechten en rechten als apparaatbeheerder. Kwaadaardige apps misbruiken de toegankelijkheidsfunctie van Android om te weten welke app op de voorgrond staat4. Over beheerdersrechten merkt MITRE op dat apps die zeer zelden nodig hebben, en raadt ontwikkelaars af dit toegangsniveau te gebruiken5.

Blijft de geïnstalleerde app zichtbaar?

Niet noodzakelijk. MITRE legt uit dat mobiele systemen interfaces hebben om onderdelen te verbergen, zoals het pictogram van een app, en dat aanvallers die misbruiken6. De pagina over input capture vraagt gebruikers om op hun hoede te zijn voor gevaarlijke toestemmingen, zoals toegang tot de toegankelijkheidsfunctie7. Andere aanvallers benutten kwetsbaarheden in het systeem om hogere rechten te krijgen8.

Is fysieke toegang tot het apparaat nodig om het te infecteren?

In het gedocumenteerde geval van BusyGasper wel: deze spyware infecteerde zijn slachtoffers via fysieke toegang tot het apparaat9.

1In de huid van de aanvaller1 min

De aanvaller heeft een obstakel: het apparaat is vaak zo ingesteld dat het alleen de goedgekeurde store accepteert2. Hij heeft een geloofwaardig voorwendsel nodig, en de bronnen noemen er een: de naam en het uiterlijk van een bekende app4. Bij Cerberus is dat een nep-installatieprogramma van Adobe Flash Player3.

Zodra de app op het apparaat staat, is het eerste doel rechten te krijgen. Cerberus kan invoer injecteren om zichzelf extra toestemmingen te geven zonder tussenkomst van de gebruiker en om te voorkomen dat de app wordt verwijderd3. Daarna volgen het verzamelen van gegevens en het onopvallend blijven: de aanvaller wil sms-berichten lezen, de contacten en de lijst met apps ophalen en vervolgens nepschermen tonen boven de apps die de aanvaller heeft aangewezen3.

De bronnen beschrijven ook aanvallers die het systeem zelf aanvallen. Sommigen benutten kwetsbaarheden in het besturingssysteem om van een beperkt toegangsniveau over te gaan naar superuserrechten (root)8. MITRE noemt Pegasus voor Android, dat bekende kwetsbaarheden in Android probeert te benutten, en Pegasus voor iOS, dat kwetsbaarheden in iOS benut8.

2Wat u op het scherm ziet1 min

Het slachtoffer ziet eerst de pagina of het bericht dat uitnodigt software te installeren. De bronnen in het dossier beschrijven de installatiewaarschuwing van het apparaat niet, dus die stap wordt hier niet uitgewerkt.

Na de installatie zijn er door de opzet weinig tekenen. MITRE legt uit dat mobiele systemen interfaces bieden om onderdelen te verbergen, zoals het pictogram van een app, en dat die interfaces legitiem gebruik kennen dat aanvallers misbruiken6. Cerberus verbergt zijn pictogram in het app-overzicht na de eerste start3. BusyGasper zet de schermhelderheid op het minimum en dempt het geluid wanneer het actief is9.

Het meest zichtbare teken is een valse invoerprompt. MITRE legt uit dat kwaadaardige apps elementen van de systeeminterface nabootsen om gevoelige gegevens te vragen, en dat het kleine scherm van een mobiel apparaat het controleren van de context bemoeilijkt4. Ze kunnen ook valse meldingen sturen die bij aanraking een prompt openen4. Ten slotte kan een prompt boven een legitieme app verschijnen4.

3Onder de motorkapIT-teams1 min

De bronnen beschrijven eerst overlay en toegankelijkheid, daarna persistentie.

  • Overlay: de app tekent een venster boven een andere app. Ze moet de toestemming SYSTEM_ALERT_WINDOW hebben, die volgens MITRE, althans onder bepaalde voorwaarden, automatisch wordt verleend aan apps die vanuit Google Play zijn geïnstalleerd4. Android 10 beperkt het starten van een activiteit boven een andere app4. Android 12 voegt de toestemming HIDE_OVERLAY_WINDOWS toe, waarmee die vensters kunnen worden verborgen7.
  • Toegankelijkheid: door misbruik kan worden achterhaald welke app op de voorgrond staat4. MITRE wijst ook op apps die toetsaanslagen opnemen of informatie over schermgebaren vastleggen7.
  • Persistentie: Cerberus schakelt Google Play Protect uit om niet te worden ontdekt en later verwijderd3. Het kan zijn code op commando bijwerken3.

MITRE preciseert verder dat de afscherming tussen apps de toegang tot de gegevens van een andere app beperkt, behalve in drie gevallen: onbeveiligde externe opslag, interne opslag met zwakke toestemmingen, of het verkrijgen van rootrechten10.

4IncidentanalysesEchte gevallen1 min

Cerberus, een verhuurde bank-trojan

Cerberus is een bank-trojan voor Android waarvan het gebruik op ondergrondse fora wordt verhuurd3. De makers beweren hem twee jaar privé te hebben gebruikt voordat hij te huur werd aangeboden3. De referenties op de MITRE-pagina omvatten een rapport van ThreatFabric uit augustus 2019 en een artikel van 16 augustus 2019 over valse installatieprogramma's van Adobe Flash Player3. De software kon sms-berichten lezen, de contacten en de lijst met apps ophalen, valse meldingen genereren en overlay-aanvallen uitvoeren op de apps die de aanvaller had aangewezen3.

BusyGasper, spyware (sinds mei 2016)

BusyGasper is Android-spyware die sinds mei 2016 wordt gebruikt9. Er zijn minder dan tien slachtoffers bekend, ogenschijnlijk allemaal in Rusland, en allemaal geïnfecteerd via fysieke toegang tot het apparaat9. Het kan geluid en camera opnemen, foto's en browsergeschiedenis kopiëren, en sms-berichten en gegevens van WhatsApp, Viber en Facebook lezen9. De referentie op de pagina is een artikel van Alexey Firsh van 29 augustus 20189.

5Wat u doet1 min
  • Installeer alleen vanuit de officiële store van het apparaat. Een uitnodiging om een bestand of een "installatieprogramma" van een website te downloaden is verdacht, ook voor bekende software3.
  • Weiger toegankelijkheids-, toetsenbord- of beheerdersrechten die een app zonder duidelijke reden vraagt. MITRE raadt gebruikers aan op hun hoede te zijn voor gevaarlijke of opdringerige toestemmingen, zoals het registreren van een toetsenbord of toegang tot de toegankelijkheidsfunctie7.
  • Houd uw telefoon vergrendeld en binnen handbereik: een gedocumenteerd geval begint met fysieke toegang9.
  • Werk het systeem bij: sommige beveiligingen, zoals de beperkingen van Android 10 en Android 12, hangen af van de versie47.
  • Op een beheerd apparaat kan het bedrijf de toegestane toegankelijkheidsdiensten beperken met een expliciete lijst, via een hulpmiddel voor apparaatbeheer (EMM of MDM)7.
6De valkuilen1 min

De officiële store is geen volledige garantie2. Een kwaadaardige app kan ook haar pictogram verbergen, dus het ontbreken van een verdacht pictogram bewijst niets6. MITRE schrijft dat dit soort techniek niet gemakkelijk met preventieve maatregelen te bestrijden is, omdat ze functies van het systeem misbruikt6.

Een beveiligingsinstelling die verandert zonder dat u iets doet, is een signaal: Cerberus schakelt Google Play Protect uit3. Neem in dat geval, of als een onbekende app uitgebreide rechten vraagt, contact op met de helpdesk.

Fiche

Identificatie
CP-093
Vleugel
1. Aanvallen en technieken
Brain-competentie
Apparaten beveiligen (secure_devices)
Brain-reflex
cr-071
Schema
G3 · Anatomische doorsnede
Talen
de, en, es, fr, it, nl
Bronnen
10 bronnen gecontroleerd op 3 november 2026
Bronnen10 bronnen
  1. MITRE ATT&CK, “Masquerade as Legitimate Application, Technique T1444 - Mobile | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1444/ (geraadpleegd op 3 november 2026)
  2. MITRE ATT&CK, “Deliver Malicious App via Authorized App Store, Technique T1475 - Mobile | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1475/ (geraadpleegd op 3 november 2026)
  3. MITRE ATT&CK, “Cerberus, Software S0480 | MITRE ATT&CK®”. https://attack.mitre.org/software/S0480/ (geraadpleegd op 3 november 2026)
  4. MITRE ATT&CK, “Input Capture: GUI Input Capture, Sub-technique T1417.002 - Mobile | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1417/002/ (geraadpleegd op 3 november 2026)
  5. MITRE ATT&CK, “Abuse Elevation Control Mechanism, Technique T1626 - Mobile | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1626/ (geraadpleegd op 3 november 2026)
  6. MITRE ATT&CK, “Hide Artifacts, Technique T1628 - Mobile | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1628/ (geraadpleegd op 3 november 2026)
  7. MITRE ATT&CK, “Input Capture, Technique T1417 - Mobile | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1417/ (geraadpleegd op 3 november 2026)
  8. MITRE ATT&CK, “Exploitation for Privilege Escalation, Technique T1404 - Mobile | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1404/ (geraadpleegd op 3 november 2026)
  9. MITRE ATT&CK, “BusyGasper, Software S0655 | MITRE ATT&CK®”. https://attack.mitre.org/software/S0655/ (geraadpleegd op 3 november 2026)
  10. MITRE ATT&CK, “Stored Application Data, Technique T1409 - Mobile | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1409/ (geraadpleegd op 3 november 2026)

Dit artikel citeren

Brain, “Sideloading op mobiele apparaten”, Cyberpedia, 2026. https://startbrain.io/cyberpedia/nl/articles/sideloading-apps-buiten-de-stores/

BibTeX 
@misc{brain_cp093_nl_2026,
  author = {Brain},
  title = {Sideloading op mobiele apparaten},
  year = {2026},
  howpublished = {Cyberpedia},
  url = {https://startbrain.io/cyberpedia/nl/articles/sideloading-apps-buiten-de-stores/},
  note = {CC BY 4.0}
}
Licentie CC BY 4.0