VoicEmployer: Android Malware nutzt Google Now für teure Anrufe

Ein raffiniertes Stück Malware ist VoicEmployer schon, das muss man den Entwicklern lassen. Das besondere an ihr ist, dass sie keinerlei ungewöhnliche Berechtigungen benötigt und auch sonst einen eher harmlosen Eindruck hinterlässt. Bis es still um das Smartphone wird. Dann wird VoicEmployer aktiv und kann selbstständig Nummern wählen. Dazu sind keine Telefonie-Berechtigungen nötig, VoicEmployer bedient sich eines anderen Tricks.

Das Mittel zum Zweck heißt Google Now. Die Malware beobachtet den Nutzer, sammelt Informationen von im Smartphone verbauten Sensoren, dazu ist keine spezielle Berechtigung nötig. Auch Uhrzeit, Prozessor-Status und andere Informationen werden gesammelt. Erkennt die Malware dann, dass sie sich in einer sicheren Umgebung befindet, beispielsweise, weil es dunkel ist, der Prozessor kaum arbeitet und auch die Umgebung ruhig ist, wird sie munter.

VoicEmployer startet dann Google Now (über Googles Text to Speech) und wählt eine Nummer per Spracheingabe. Google Now fragt nach, ob die Nummer gewählt werden soll, es kommt ein OK der Malware und schon ist der Smartphonebesitzer ein paar Euro ärmer. Das lässt sich im Prinzip mit allen Google Now Features nutzen, also auch SMS lesen, Standorte anzeigen, etc. Ziemlich mächtig für eine Malware, die bei der Installation keinerlei weitere Zugriffsrechte benötigt.

Einen Schutz davor gibt es aktuell nur bedingt. So kann man zwar einen PIN festlegen, der die Spracheingabe einschränkt, Telefonnummern lassen sich auf diese Weise jedoch immer wählen. Und das dürfte für viele bereits ausreichen, um so eine Schadsoftware zu verbreiten. Google könnte auf mehrere Weisen gegensteuern. Die Spracherkennung auf den Nutzer festlegen, die Spracherkennung generell per PIN schützen (was wiederum auf Kosten des Komforts gehen würde) oder entsprechende Berechtigungen einführen, sodass Apps zum Beispiel keine Sounds senden können, während die Spracheingabe läuft.

Da die Malware auch nicht von gängigen Antivirusprodukten für Smartphones erkannt wird – wie auch, sie macht ja im Prinzip nichts unerlaubtes – bieten diese in diesem Fall gar keinen Schutz. Auch Googles eigener Schutzscan im Google Play Store dürfte an dieser Art Malware scheitern. Sollte VoicEmployer sich verbreiten, muss sich Google allerdings etwas einfallen lassen, einfach nur zusehen ist da Fehl am Platz. (Danke Uli!)

Update: Da hier Fragen auftauchen, natürlich funktioniert dies nur mit aktiviertem „Ok Google“-Hotword, anders würde sich das Beschriebene ja nicht realisieren lassen. Und nein, das funktioniert in Deutschland noch nicht, es sei denn, man nutzt englische Spracheinstellungen.