Der Malware-Forscher Lukas Stefanko hat im Google Play Store zahlreiche Navigations-Apps gefunden, die zwar Geld kosten, aber lediglich die Funktionen des kostenfrei nutzbaren Google Maps bieten. Zusätzlich fragen die Hintermänner die persönlichen Daten der Nutzer ab. Dem IT-Security-Anbieter Eset zufolge, bei dem Stefanko beschäftigt ist, sind bereits rund 50 Millionen Nutzer auf die Masche der Betrüger hereingefallen. Zum Erfolg tragen offenbar auch die vielen guten Bewertungen der Apps bei, obwohl die Apps eindeutig gegen die Google-Richtlinien für den Play Store verstoßen.
Foto: Eset
Die beanstandeten Apps bieten keine eigene Leistung, sondern missbrauchen das kostenlose Google Maps. "Das wird lediglich durch kosmetische Anpassungen kaschiert - in den meisten Fällen durch eine veränderte Benutzeroberfläche. Manche der Apps verzichten sogar darauf, ein eigens gestaltetes App-Icon zu verwenden, sie verschleiern also noch nicht einmal ihre Herkunft", teilt Eset mit. Angepriesene Zusatzfunktionen wie Kompass oder Tacho gebe es entweder überhaupt nicht oder sie seien so rudimentär, dass sie keinen wirklichen Nutzen bieten.
Foto: Eset
Bei den wertlosen Apps zahlen Anwender dennoch gleich doppelt: Erstens mit ihren Nutzerdaten und zweitens durch den Kaufpreis. Ein Teil der Apps verlangt etwa Zugriffsrechte auf die Kontakte und das Telefonbuch. Laut Eset sollten Anwender spätestens daas stutzig werden: Beides sei für eine Navigations-App nicht erforderlich und ein deutlicher Hinweis auf Probleme beim Datenschutz. Eine der Apps ist nicht nur kostenpflichtig, sondern verlangt zusätzlich Geld dafür, dass die In-App-Werbung ausgeblendet wird.
Lesetipp: Empfehlenswerte Android-Apps für die Offline-Navigation
Eset-Experte Stefanko empfiehlt Anwendern, sich vor dem Kauf einer App gründlich zu informieren und nicht nur auf die sofort sichtbaren Bewertungen und ein gutes Ranking sowie die Listung im Play Store zu verlassen. Nutzer sollten sich vielmehr die App-Beschreibungen sowie die Anwenderwertungen aufmerksam durchlesen und prüfen, ob App, Bewertungen und das App-Icon in der Übersicht seriös aussehen. Außerdem helfe eine gute Sicherheitsanwendung, Schadsoftware oder potenziell unerwünschte Apps (PUA) zu identifizieren und abzuwehren.
Google als App-Store-Betreiber zu nachlässig
Eset spricht in dem Zusammenhang von einem "beispiellosen Schwindel" und kritisiert Google als App-Store-Betreiber dafür, dass es vor der Veröffentlichung nicht besser aufpasst. Bedauerlicherweise haben es mit Malware infizierte oder betrügerische Apps bei Google traditionell wesentlich leichter als bei Apple, in den offiziellen App Store zu gelangen.
Von Google wurden alleine 2017 mehr als 700.000 Apps aus seinem App Store geworfen, weil sie gegen die Regeln verstießen. Die Anzahl lag 70 Prozent über der des Vorjahres. Laut Google konnten 99 Prozent der unseriösen Apps vor der eigentlichen Veröffentlichung identifiziert und entfernt werden. Dennoch bleiben auch dann noch mindestens 7.000 Apps übrig (ein Prozent), die schädlich oder gefährlich waren und zumindest eine Zeitlang zur Installation zur Verfügung standen.
Dazu gehörten auch mindestens 50 mit der Malware "ExpensiveWall" infizierte, die der IT-Sicherheitsanbieter Check Point entdeckte. Betroffen waren Wallpaper-Apps. Sie registrierten die Nutzer nach der Installation bei diversen, betrügerischen Diensten und schickten an diese dann teure SMS-Nachrichten. Die infizierten Apps wurden den Check-Point- Forschern zufolge bis zu 4,2 Millionen Mal heruntergeladen. Damit war ExpensiveWall bis dahin eine der größten Malware-Kampagnen im Google Play Store.
Lesetipp: Die raffinierten Geschäftsmodelle der Gratis-Apps
2018 gehörten zu den im Play Store eigentlich nicht erlaubten, aber dennoch verfügbaren Anwendungen auch gefälschte Wallet-Apps für Kryptowährungen. Sie wurden ebenfalls von Eset-Experte Stefanko entdeckt. Der beschäftigt sich schon länger mit dem Thema und berichtete unter anderem 2015 von zahlreichen sogenannten Scareware-Apps, die sich an dem von Google 2012 eingeführtem, "Bouncer" genanntem Prüfsystem, vorbeigeschmuggelt hatten. Sie waren als Cheats und Mods für Minecraft getarnt. Aufgrund der sehr jungen und vielfach oft unkritischen Zielgruppe des Spiels Minecraft hatten sie erheblichen Erfolg.
Das immer wieder kritisch beleuchtete Kontrollsystem von Google versagte auch bei Apps, die mit der als "Viking Horde" bekannt gewordenen Malware gespickt waren. Sie fügte das Gerät einem Botnet hinzu. Ziel der Hintermänner war es, durch Klickbetrug auf Online-Werbung sowie dem Versand von SMS an teure Premium-Nummern Einnahmen zu erzielen.