Lipizzan: Google Play Protect hat einen Staatstrojaner im Play Store entdeckt

 

Es kommt immer wieder mal vor, dass es ein Trojaner oder eine andere Malware auf ein Android-Smartphone schafft und dort sein Unwesen treibt. Google hat aber mittlerweile viele Maßnahmen ergriffen um die Nutzer umfangreich zu schützen und solche bösartigen Apps schnell zu erkennen und zu entfernen. Auf der Suche nach Malware macht das Google-Team immer wieder interessanter Entdeckungen, und hat nun einen Staatstrojaner im Play Store entdeckt.

Android ist mittlerweile ein Betriebssystem mit über 2 Milliarden Geräten, und entsprecht attraktiv wird die Plattform für die Entwickler von Malware bzw. zum Ausnutzen von bekannten Sicherheitslücken. Google tut zwar sehr viel für die Sicherheit der Nutzer, aber einige Sicherheitslücken lassen sich ohne ein Update eben nicht stopfen, aber durch die große Fragmentierung sind ständig viele Hunderte Millionen Smartphones ungeschützt und werden zur Zielscheibe.

Beim Durchsuchen des Play Stores nach Unregelmäßigkeiten haben Googles Sicherheitsforscher eine neue Malware entdeckt, bei der es sich wohl relativ eindeutig um einen Staatstrojaner handelt. Auf diese Einstufung kam das Team vor allem deswegen, weil nur eine extrem kleine Nutzergruppe betroffen war – weniger als 100 Geräte – und das, obwohl mehr als 20 Apps im Play Store damit infiziert waren. Außerdem wurden die Apps von einem israelischen Sicherheitsunternehmen entwickelt, das seit Jahren „Staatstrojaner“ entwickelt und an Behörden verkauft.

Die Experten haben die Malware bzw. den Trojaner „Lipizzan“ getauft, und haben dessen Funktion folgendermaßen beschrieben: Als im ersten Schritt ungefährliche Apps mit Bezeichnungen wie „Backup“ oder „Cleaner“ finden sie sich im Play Store und können dann, aus der Ferne gesteuert, Schadcode nachladen. Mit diesem sind sie dann in der Lage, Anrufe mitzuhören, das Mikrofon dauerhaft einzuschalten, Screenshots anzufertigen, den Standort festzustellen und Fotos zu schießen.

Außerdem hat die App Funktionen enthalten, die den Zugriff auf Daten von WhatsApp, GMail, Snapchat, Skype und einer Reihe weiterer erlauben. Und das alles ohne Root oder Zustimmung des Nutzers, denn es wurden eine Reihe von Sicherheitslücken des Betriebssystems ausgenutzt.

Als Google dies entdeckt hat, hat man die Apps aus dem Play Store entfernt und dann einige Tage abgewartet. Schon nach wenigen Tagen fand sich der gleiche Code wieder im Play Store, allerdings diesmal in anderen Apps mit Bezeichnungen wie „Notepad“, „Cleaner“ oder auch „Sound Recorder“. Außerdem wurden die schadhaften Inhalte in der zweiten Stufe nun verschlüsselt heruntergeladen, so dass sie noch schwerer zu entdeckten sind – aber Googles Team war eben vorgewarnt.

Mittlerweile kann das neue Google Play Protect aber auch diese Apps und den Code entdecken und entfernt solche Apps automatisch aus dem Play Store. Google hat dennoch alle betroffenen Nutzer über die mögliche Spionage in der Vergangenheit informiert. Außerdem wurde die Installation von neuen Apps mit diesem Code auf neuen Geräten blockiert. Laut dem Blogpost waren weniger als 100 Nutzer und damit auch nur 0,000007 Prozent aller Android-Geräte betroffen.

Google dürfte sich mit diesem Vorgehen keine Freunde bei den staatlichen Behörden machen, und es würde mich nicht wundern wenn man schon die ersten Aufforderungen zur Freigabe solche Codes bekommen hat. Aber es ist gut zu wissen dass Google die Nutzer so gut wie möglich vor so etwas schützt und anschließend sogar darüber informiert.

» Artikel im Google Online Security Blog

[futurezone]

---

---