In den vergangenen Jahren hatte Google im Play-Store immer wieder einmal eine größere Anzahl betrügerischer Apps entfernen müssen. Trotz stets nachgebesserter Sicherheitsmechanismen gelang es Cyberkriminellen aber weiterhin, Malware-infizierte Apps auf den App-Marktplatz hochzuladen. Jetzt haben Sicherheitsforscher:innen der niederländischen Threat Fabric eine Reihe von Apps entdeckt, die sich letztlich als Banking-Trojaner erwiesen hätten.

Die Cyberkriminellen nutzten dafür eine ausgeklügelte Methode, mit denen es ihnen gelang, die Sicherheitsmechanismen in Googles Play-Store zu umgehen. Hochgeladen worden waren die Apps nämlich zunächst als harmlos erscheinende Krypto-Wallets, QR- oder PDF-Scanner, wie Ars Technica berichtet. Hatten die Nutzer:innen die Apps heruntergeladen, wurden sie zum Herunterladen von Updates von Drittanbietern aufgefordert. Darüber kam dann Malware auf die Handys, die von Googles Virenscanner Virustotal nicht erkannt wurde.

Dafür dürfte laut Threat Fabric auch eine ganz besonders vorsichtige Vorgangsweise der Cyberkriminellen verantwortlich sein. Diese sollen unter anderem deshalb unter dem Radar geflogen sein, wie es bei Ars Technica heißt, weil die Angreifer:innen etwa die Updates nur in bestimmten Ländern anforderten oder die Handys nur schrittweise aktualisierten. Das erschwerte die maschinelle Erkennung von Schadsoftware. Außerdem wirkten die Apps für Nutzer:innen vertrauenserweckend.

Für die überwiegende Zahl der Infektionen war laut den Sicherheitsforscher:innen die Malware-Familie Anatsa verantwortlich. Dabei handelt es sich um einen fortschrittlichen Banking-Trojaner. Bei Tausenden Nutzer:innen – die betroffenen Apps sollen insgesamt über 300.000 Mal heruntergeladen worden sein – sollen heimlich Passwörter und Zwei-Faktor-Authentifizierungscodes abgeschöpft worden sein. Außerdem wurden Code-Eingaben protokolliert und Screenshots gemacht.

Google verwies im Hinblick auf die von den Sicherheitsforscher:innen veröffentlichten Methoden der Cyberkriminellen auf einen Blogpost aus dem Frühjahr. Darin berichtete der Tech-Konzern über Erfolge bei der Bekämpfung von bösartigen Android-Apps. So habe Google Play Protect über 100 Milliarden installierte Apps jeden Tag auf mögliche Malware untersucht. Fast einer Million Apps habe Google den Upload in den Play-Store wegen der Verletzung von Vorschriften verweigert. Zudem seien 119.000 Konten von Cyberkriminellen geschlossen worden.