Android: Apps mit Werbung als potentielle Sicherheitslücke
von caschy | 5 Kommentare
MWR Labs hat Android und die Apps mit Werbung unter die Lupe genommen und ist zum Entschluss gekommen: viele dieser Apps können als große Sicherheitslücke fungieren. Unter Umständen ist es möglich, dass Apps, die sich durch Werbung finanzieren, Code auf das Android-Gerät schleusen. Schuld daran ist nach Ansicht der Experten das Modul WebView, welches bei der Anzeige von Werbung verwendet wird.
Viele Apps, die sich durch Werbung finanzieren, nutzen diese Möglichkeit und zeigen so HTML-Inhalte an. Die Kommunikation zu den Advertiser-Netzwerken soll dabei oft unverschlüsselt via HTTP ablaufen und sei so durch Man-in-the-middle-Attacken angreifbar. Aus dem Google Play Store wurden 100 Top-Apps geladen, von denen 79 irgendwelche Werbenetzwerke nutzen. 62 dieser Apps sind potentiell angreifbar. Je nach Berechtigung der App können unter Umständen – je nachdem, welches Framework und welche Möglichkeiten implementiert sind – Daten von der SD-Karte gelesen werden – auch soll das Verschicken von SMS möglich sein.
Wird geladen ...
Dazu kommt, daß in den letzten Tagen mehrere Apps, u.a. Speedtest.net und TripAdvisor per Update Zugriff auf den external storage aka SD-Card aka USB Speicher verschaffen wollten. Auf Nachfrage bei Ookla (Sppedtest.net) hängt dies mit dem Caching von Tiles aus der Google Maps API zusammen. https://developers.google.com/maps/documentation/android/start#specifying_permissions
Es könnte viel für die Sicherheit getan werden, wenn solche unsinnigen API Implementierungen vermieden würden.
Eigentor: http://stadt-bremerhaven.de/gmail-app-fuer-android-bald-mit-werbung/
Mich wundert es ja dass es immer noch so viele Leute gibt die auf Werbung klicken…
Wer sich nicht wundert das alles bei Android kostenlos ist ist selbst schuld wenn dann überall Werbung aufleuchtet. Ausserdem sollte ja auch klar sein das bei Werbeeinblendungen Sachen wie Datenschutz, Datenverkehr gering halten, Prozessor- und Akkuleistungsverbrauch im Hintergrund stehen
Ich modifiziere die apps so, das erst garnicht angezeigt werden =:)
Wie gut dass es http://sufficientlysecure.org/index.php/adaway/ gibt. 🙂