Sicherheitsforschende haben kürzlich im Google Play Store zwei bösartige Anwendungen zur Dateiverwaltung entdeckt, „File Recovery“ und „Data Recovery“. Zusammen wurden sie über 1,5 Millionen Mal installiert. Beide Android-Apps, die vom selben Anbieter stammen, sammeln übermäßig viele Nutzungsdaten und gehen damit weit über das hinaus, was für die angegebenen Funktionen notwendig ist. Noch besorgniserregender ist, dass diese Apps selbstständig starten und sensible Daten an Server in China übermitteln können. Obwohl sie Google gemeldet wurden, blieben die Apps für lange Zeit im Play Store.

Android-Apps greifen heimlich Daten ab

Die Anwendungen wurden von Pradeo, einem auf mobile Sicherheitslösungen spezialisierten Unternehmen, mit Hilfe seiner Verhaltensanalyse-Engine aufgespürt. Die als „com.spot.music.filedate“ und „com.file.box.master.gkd“ identifizierten Apps wiesen signifikant hohe Installationszahlen auf. „File Recovery“ meldete mindestens eine Million Installationen und „Data Recovery“ rühmte sich mit einer halben Million. Im Gegensatz zu ihren Google Play-Beschreibungen, die behaupten, keine Nutzungsdaten zu sammeln, ergab die Analyse von Pradeo etwas anderes.

Das Unternehmen fand heraus, dass die Android-Apps unter anderem Kontaktlisten, verknüpfte E-Mail-Konten, soziale Netzwerke sowie Bild-, Audio- und Videodateien abgreifen. Sie erfassen auch den Echtzeit-Standort der Nutzerinnen und Nutzer, die Landesvorwahl des Mobiltelefons, den Namen des Netzbetreibers, den Netzcode des SIM-Anbieters, die Versionsnummer des Betriebssystems sowie die Marke und das Modell des Geräts.

Während einige dieser Daten für eine optimale Leistung notwendig sein können, sind viele davon überflüssig und für die Dateiverwaltung oder Datenwiederherstellung irrelevant. Diese Daten werden auch heimlich und ohne ausdrückliche Zustimmung der Nutzer*innen abgegriffen.

• Auch interessant: Schnellste Android-Handys: Fachleute präsentieren die Top 10 – das Ergebnis überrascht

„Diese Apps wurden aus Google Play entfernt“

Zusätzlich zu ihren Datenexfiltrationsaktivitäten wenden diese bösartigen Apps Strategien an, um die Entdeckung und Deinstallation zu umgehen. Die Apps können ihre Startbildschirmsymbole verbergen, sodass es für die Nutzer*innen schwieriger ist, sie zu finden und zu löschen. Außerdem nutzen sie die bei der Installation erteilten Berechtigungen, um Geräte neu zu starten und unbemerkt im Hintergrund zu laufen.

Pradeo vermutet, dass der Herausgeber Emulatoren oder Installationsfarmen einsetzt, um die Popularität der Android-Apps künstlich in die Höhe zu treiben – eine Taktik, die trotz der Diskrepanz zwischen der Anzahl der Bewertungen und der gemeldeten Nutzungsbasis im Play Store einen trügerischen Anschein von Vertrauenswürdigkeit vermittelt.

Als Reaktion auf diese Entdeckungen hat Google diese Apps aus dem Play Store entfernt, wie BleepingComputer in einer Erklärung mitteilte. „Diese Apps wurden aus Google Play entfernt“, habe Google in einer entsprechenden E-Mail erklärt. „Google Play Protect schützt Nutzer vor Apps, von denen bekannt ist, dass sie diese Malware auf Android-Geräten mit Google Play Services enthalten, auch wenn diese Apps aus anderen Quellen außerhalb von Play stammen.“

Quelle: Pradeo; BleepingComputer

Seit dem 24. Februar 2022 herrscht Krieg in der Ukraine. Hier kannst du den Betroffenen helfen.