Google Play Store: Malware auf 620.000 Geräten installiert

Sicherheitsforschern von Kaspersky ist es gelungen, Schadsoftware aufzuspüren und Google darauf aufmerksam zu machen. Die betroffenen Apps (Beauty Slimming. Photo Editor, Photo Effect Editor, GIF Camera Editor etc.) wurden inzwischen entfernt. Offensichtlich haben die Schutzmaßnahmen von Google im Play Store nicht gegriffen. Die Schadsoftware in den Foto- und Wallpaper-Apps – von den Entdeckern „Fleckpe” getauft – war seit 2022 aktiv. Im Google Play Store wurden elf mit Fleckpe infizierte Apps gefunden, die auf mehr als 620.000 Geräten installiert waren.

Wenn die vom Nutzer geladene App startet, lädt sie eine stark verschleierte native Bibliothek, die einen bösartigen Dropper enthält, der eine Nutzlast aus den App-Assets entschlüsselt und ausführt. In Kurzform: Die App versuchte einen unsichtbaren Webbrowser auszuführen und versuchte, im Namen des Benutzers ein Abonnement abzuschließen. Wenn dazu ein Bestätigungscode erforderlich war, holte sich die Malware diesen aus den Benachrichtigungen (auf die beim ersten Durchlauf zugegriffen werden musste). Nachdem der Trojaner den Code gefunden hat, gibt er ihn in das entsprechende Feld ein und schließt den Anmeldevorgang ab. Das Opfer fährt fort, die legitimen Funktionen der App zu nutzen, z. B. Hintergrundbilder zu installieren oder Fotos zu bearbeiten, ohne zu wissen, dass es einen kostenpflichtigen Dienst abonniert hat.

Große Sorge müssen Nutzer hierzulande wohl nicht haben. Die Forscher fanden heraus, dass der Trojaner hartkodierte thailändische MCC- und MNC-Werte enthielt, die offenbar zu Testzwecken verwendet wurden. Thailändisch sprechende Nutzer dominierten die Bewertungen für die infizierten Apps bei Google Play. Dies veranlasst zu der Annahme, dass diese spezielle Malware auf Nutzer aus Thailand abzielte, obwohl die Telemetrie zeigte, dass es auch Opfer in Polen, Malaysia, Indonesien und Singapur gab.

Transparenz: In diesem Artikel sind Partnerlinks enthalten. Durch einen Klick darauf ge­lan­gt ihr direkt zum Anbieter. Solltet ihr euch dort für einen Kauf entscheiden, erhalten wir ei­ne kleine Provision. Für euch ändert sich am Preis nichts. Partnerlinks haben keinerlei Einfluss auf unsere Berichterstattung.