AV-Comparativesin tutkijat tutkivat 250 suosittua tietoturvasovellusta Google Playn viralliselta luettelolta ja päätyivät pettymystä tuottaviin johtopäätöksiin: lähes kaksi kolmasosaa Androidin virustentorjuntaohjelmista ei täytä mainoksissaan esitettyjä lupauksia. Pahempaa on, että tällaiset sovellukset joskus itse kutsuvat haittaohjelmia, eivät “näe” todellisia uhkia eivätkä käytännössä tee mitään hyödyllistä.
Testit tehtiin hyvin yksinkertaisesti: asiantuntijat asensivat virustentorjuntaohjelmat erillisille laitteille, joilla selain avasi ja latasi haitallisia sovelluksia automaattisesti. Tämä tehtiin 2 000 kertaa jokaisen sovelluksen kanssa käyttäen 2 000 eri kuvaa “suositusta” haittaohjelmasta, joka löydettiin viime vuonna. Tässä yhteydessä sana “tunnistettu” tarkoittaa, että virustentorjuntaratkaisujen olisi pitänyt tietää nämä haittaohjelmat. Valitettavasti todellisuus osoittautui täysin toisenlaiseksi.
Vain 80 tutkitusta 250 sovelluksesta pystyi tunnistamaan vähintään 30 % uhkista ilman vääriä positiivisia havaintoja. Toisin sanoen loput 170 sovellusta “epäonnistuivat testissä täydellisesti”. On sanottava, että vain 23 sovellusta 250:stä havaitsi 100 % uhkista, ja ne olivat pääasiassa tunnettujen virustentorjuntaohjelmistojen kehittäjien ratkaisuja, kuten Avast, Bitdefender, ESET, F-Secure, G-Data, Kaspersky Lab, McAfee, Sophos, Symantec, Tencent, Trend Micro ja Trustwave.
Tutkijat kertovat, että monet virustentorjuntaohjelmat eivät lainkaan analysoi käyttäjän lataamia ja asentamia sovelluksia, vaan tarkistavat ainoastaan valkoisia ja mustia listoja ja vertaavat vain pakettien nimiä, ei niiden koodia. Tämän vuoksi monet sovellukset merkitään oletuksena haitallisiksi pelkästään siksi, etteivät ne ole asianmukaisella listalla. Siksi syntyy toisinaan hauskoja tilanteita: esimerkiksi tällaiset “virustentorjuntaohjelmat” voidaan katsoa haitallisiksi, vaikka niiden tekijät olisivat unohtaneet lisätä oman tuotteensa nimen valkoiselle listalle. Toiset ratkaisut taas pitävät vaarattomina sovelluksia, joiden nimi alkaa “com.adobe.*”. Toisin sanoen mikä tahansa haittaohjelma, jonka nimi on com.adobe, kiertää rajoitukset.
AV-Comparativesin asiantuntijat kirjoittavat, että hälyttävää on se, etteivät monet näistä virustentorjuntasovelluksista ole tietoturva-asiantuntijoiden kehittämiä: ne ovat amatöörien tai sellaisten yritysten tekemiä, joiden päätoimiala on hyvin kaukana tietoturvasta (esimerkiksi pelinkehittäjien). “Viimeistä ryhmää edustavat kehittäjät, jotka tekevät kaikenlaisia sovelluksia tulonhankinnan ja mainonnan vuoksi tai jotka haluavat Androidin tietoturvaratkaisun portfolioonsa”, asiantuntijat selittävät.
Pahempaa on, että monet suojausratkaisut näyttävät tulleen samoilta “liukuhihnoilta”: kymmenillä sovelluksilla on lähes identtinen käyttöliittymä, ja niiden tekijöitä kiinnostaa ilmeisesti enemmän mainosten näyttäminen kuin toimivan haittaohjelmaskannerin kirjoittaminen.
AV-Comparativesin tutkimuksen tulokset tuskin yllättävät niitä, jotka seuraavat Androidin virustentorjuntaratkaisujen tilannetta. Esimerkiksi viime keväänä ESETin asiantuntijat löysivät Google Playsta 35 mainossovellusta, jotka oli myös naamioitu virustentorjuntaohjelmiksi ja joita oli ladattu yli 7 000 000 kertaa. ESETin analyytikot kutsuivat tällaisia “tyhjänpäiväisiä” haittaohjelmiksi, sillä ne vain imitoivat tämän suojausohjelmiston toimintaa.
