Google advarer nå brukere om "døde" apper på Android-telefonen

Google jobber med en ny varslingsfunksjon som skal fortelle Android-brukere når installerte apper er fjernet fra Play Store og dermed ikke lenger får oppdateringer.

Funksjonen ble oppdaget i en APK-analyse av Play Store-versjon 51.4.19, publisert av Android Authority 26. mai i år. I koden ligger tre tekststrenger som beskriver tre ulike scenarioer for hvor mange apper som er rammet.

Strengene avslører tonen i den kommende varslingen. "%1$s was removed from Google Play and will no longer receive updates", lyder den korteste varianten, som på norsk vil si at en spesifikk app er fjernet fra Play Store og ikke lenger vil motta oppdateringer. To andre strenger dekker tilfeller med to eller flere fjernede apper på én gang.

En forlatt app er en sikkerhetsrisiko

Problemet med apper som er borte fra butikken, er at de fortsatt fungerer på telefonen din, men uten å bli vedlikeholdt. Sikkerhetshull blir aldri lukket, og koden eldes mens resten av systemet beveger seg videre.

Et konkret eksempel kommer fra sikkerhetsselskapet Black Duck, som i en advarsel fra deres forskningsavdeling CyRC avdekket kritiske svakheter i tre populære Android-apper for fjernstyring av mus og tastatur: Lazy Mouse, Telepad og PC Keyboard. Til sammen hadde appene over to millioner installasjoner via Google Play.

CyRC-forskeren Mohammed Alshehri fant svake eller manglende autentiseringsmekanismer og usikker kommunikasjon i alle tre apper. Sårbarhetene fikk syv egne identifikatorer i CVE-registeret, fra CVE-2022-45477 til CVE-2022-45483, og flere av dem ble vurdert til høyeste alvorlighetsgrad.

Black Duck konkluderte med at appene var det forskerne kaller "abandonware", altså programvare som utviklerne har forlatt. Forsøkene på å varsle utviklerne ble aldri besvart innenfor 90-dagersfristen som selskapet opererer med, ifølge Bleeping Computer.

Slik kan du selv finne de døde appene

Inntil Googles varslingsfunksjon faktisk er rullet ut, må brukerne selv holde orden på hva som ligger på telefonen. APK-analyser viser kun arbeid som pågår, og det er ikke gitt at funksjonen i denne formen havner i en endelig versjon av Play Store.

I mellomtiden er det enkelte grep som er verdt å ta. Gå gjennom installerte apper i Play Store under "Administrer apper og enhet", og sjekk om de fortsatt har en aktiv side i butikken. Apper som mangler oppdateringer i lang tid, eller som ikke lenger lar seg finne i søk, bør slettes med mindre du har en konkret grunn til å beholde dem.

Råd om god app-hygiene er heller ikke nytt. Nasjonal sikkerhetsmyndighet har tidligere pekt på at uoppdatert programvare er en hovedvei inn for angripere, og prinsippet gjelder også for mobile apper som ingen lenger ser etter.

Når Google selv begynner å sende varsler i Play Store, vil mange Android-brukere trolig oppdage at de har gått rundt med digital ballast i lommen i flere år.