Fast zehn Millionen Android-Nutzer wurden von der beliebten Barcode-Scanner-App „Barcode Scanner“ infiziert, nachdem die legitime Anwendung zu Schadsoftware manipuliert worden war. Forscher des Sicherheitsunternehmens Malwarebytes deckten das schädliche Verhalten der Software auf und meldeten es Google, woraufhin die App aus dem App Store entfernt wurde.
Ende Dezember letzten Jahres erreichten die Forscher besorgte Anrufe von Android-Nutzern. Laut dem Unternehmen wurden diesen Nutzern in ihren Standardbrowsern plötzlich und unerwartet Werbeanzeigen angezeigt. Das Merkwürdigste an dieser Werbeflut war, dass keiner der Betroffenen kürzlich Apps installiert hatte. Alle seither installierten Apps stammten jedoch direkt aus dem Google Play Store.
Die Popup-Anzeigen wurden fortgesetzt, bis eines der Malware-Opfer feststellte, dass die Anzeigen von einer seit langem installierten Anwendung namens Barcode Scanner stammen.
Die Forscher fügten die Erkennungsfunktion umgehend hinzu, nachdem ein Nutzer dies gemeldet hatte und Google die App aus dem Store entfernt hatte . Viele Nutzer hatten die App bereits seit langer Zeit auf ihren Mobilgeräten verwendet, darunter ein Nutzer, der sie jahrelang installiert hatte.
Nach einem Update im Dezember wandelte sich die Barcode-Scanner-App von einem eigentlich nützlichen QR-Code-Leser und Barcode-Generator für Mobilgeräte zu einer Schadsoftware. Obwohl Google die App inzwischen entfernt hat, geht das Sicherheitsunternehmen davon aus, dass das Update am 4. Dezember 2020 veröffentlicht wurde und die Funktionsweise der App so veränderte, dass sie ohne Vorwarnung Werbung versendete.
Während viele Entwickler Werbung in ihre Software integrieren, um kostenlose Versionen anzubieten, und kostenpflichtige Anwendungen einfach keine Werbung anzeigen, hat die Änderung in den letzten Jahren über Nacht stattgefunden. Nützliche Ressourcenanwendungen für Adware werden immer häufiger.
„Werbe-SDKs können von verschiedenen Drittunternehmen stammen und eine Einnahmequelle für den Anwendungsentwickler sein. Es ist eine Win-Win-Situation “, bemerkte Malwarebytes. „Benutzer erhalten eine kostenlose App, während App-Entwickler und Ad-SDK-Entwickler bezahlt werden. Aber hin und wieder kann ein Ads SDK-Unternehmen etwas ändern und die Anzeigen können etwas aggressiv werden.
Manchmal wenden Drittanbieter aggressive Werbepraktiken an, doch dies trifft auf diesen Barcode-Leser nicht zu. Laut Forschern war der Schadcode vielmehr im Dezember-Update enthalten und wurde weitgehend versteckt, um nicht entdeckt zu werden. Das Update wurde zudem mit demselben Sicherheitszertifikat signiert, das auch in früheren Versionen der Android-App verwendet wurde.
„Nein, im Fall von Barcode Scanner wurde schädlicher Code hinzugefügt, der in früheren Versionen der Anwendung nicht vorhanden war. Außerdem wurde im hinzugefügten Code eine starke Verschleierung verwendet, um eine Erkennung zu vermeiden. Um zu überprüfen, ob es vom selben Anwendungsentwickler stammt, haben wir bestätigt, dass es mit demselben digitalen Zertifikat wie die vorherigen sauberen Versionen signiert wurde. “
Die Tatsache, dass Google die App aus dem Google Play Store entfernt hat, bedeutet nicht, dass sie von betroffenen Geräten verschwindet . Genau dieses Problem haben Nutzer, die den Barcode-Scanner installiert haben. Um es zu beheben, müssen sie die nun schädliche App manuell deinstallieren.
Die Forscher konnten nicht genau feststellen, wie lange die Barcode-Leser-App eine legitime App im Google Play Store war, bevor sie bösartig wurde.
„Aufgrund der großen Anzahl von Installationen und des Feedbacks der Benutzer glauben wir, dass es das schon seit Jahren gibt. Es ist erschreckend, dass eine App mit nur einem Update bösartig werden kann, während sie sich noch unter dem Radar von Google Play Protect befindet. Es ist mir ein Rätsel, dass ein App-Entwickler mit einer beliebten App daraus Malware machen kann. War es von Anfang an geplant, eine Anwendung im Leerlauf zu haben und darauf zu warten, dass sie nach Erreichen der Popularität eintrifft? Ich denke, wir werden es nie erfahren “, heißt es in dem Bericht der Ermittler.
Quelle: https://blog.malwarebytes.com/