Forschende finden Android-Apps, die mit erstem Update zu Trojanern werden

Im Google Play Store gibt es trotz Sicherheitsvorkehrungen Apps, bei denen es sich um getarnte Banking-Trojaner handelt. Das fanden gemäss "Arstechnica" Forschende des Mobile-Security-Unternehmens Threatfabric heraus. Die Apps wurden über 300'000 Mal heruntergeladen.

Bei diesen bösartigen Apps handle es sich unter anderem um QR-Scanner, PDF-Scanner und Börsen für Kryptowährungen. Sie umgehen die Sicherheitsbestimmungen des Google Play Stores, indem sie die Malware erst nach der Installation über Updates von Drittanbietern einspielen. Dies geschieht manchmal auch nur bei einem Teil der Geräte, wenn sich deren Nutzerinnen und Nutzer etwa im angepeilten geografischen Gebiet befinden.

Reguläre Apps - wenn da nicht die Malware wäre

Die vier Android-Malware-Familien, welche die Forschenden entdeckten, heissen Anatsa, Alien, Hydra und Ermac. Einmal installiert, späht die Schadsoftware etwa Passwörter sowie Zwei-Faktor-Authentifizierungscodes aus, speichert Tastatureingaben und Screenshots oder gewährt Dritten Fernzugriff. Abgesehen davon halten diese Apps, was sie im Play Store versprechen, und dienen etwa als reguläre QR-Scanner. Die grosse Zahl Downloads und die positiven Bewertungen im Store lassen die Applikationen vertrauenswürdiger scheinen.

Die betrügerischen Apps, welche die Forschenden entdeckt haben, sind gemäss Bericht:

• Two Factor Authenticator (Package-Name: com.flowdivision)

• Protection Guard (Package-Name: com.protectionguard.app)

• QR CreatorScanner (Package-Name: com.ready.qrscanner.mix)

• Master Scanner Live (Package-Name: com.multifuction.combine.qr)

• QR Scanner 2021 (Package-Name: com.qr.code.generate)

• QR Scanner (Package-Name: com.qr.barqr.scangen)

• PDF Document Scanner - Scan to PDF (Package-Name: com.xaviermuches.docscannerpro2)

• PDF Document Scanner (Package-Name: com.docscanverifier.mobile)

• PDF Document Scanner Free (Package-Name: com.doscanner.mobile)

• CryptoTracker (Package-Name: cryptolistapp.app.com.cryptotracker)

• Gym and Fitness Trainer (Package-Name: com.gym.trainer.jeux)

Übrigens wird auch ein anderes Google-Produkt gerne von Kriminellen missbraucht: Google-Anzeigen. So verleiteten darüber Betrüger ihre Opfer kürzlich dazu, einen falschen Microsoft-Support anzurufen. Erfahren Sie hier mehr dazu.

Wenn Sie mehr zu Cybercrime und Cybersecurity lesen möchten, melden Sie sich hier für den wöchentlichen Newsletter von Swisscybersecurity.net an. Auf dem Portal gibt es täglich News über aktuelle Bedrohungen und neue Abwehrstrategien.