Malware für Android: echte Gefahr oder Übertreibung?

Wenn man nach den theoretischen Betrachtungen einen Blick in die Praxis wirft, kann man ohne Untertreibung behaupten: Bis heute gibt es keine einzige Malware-App für Android. Dieses Statement mag zunächst falsch klingen, da etwa das Magazin Wired im Januar unter dem Titel „Malware schleicht sich in den Android Market ein“ berichtete, dass zwei US-Banken vor Android-Phishing-Applikationen warnen, die an die Finanzdaten des Nutzers kommen wollen. Die Meldung stellte sich später allerdings als eine sogenannte „Ente“ heraus.

Die BayPort Credit Union warnte im Dezember, dass sie über eine möglicherweise unsichere Anwendung im Android Market informiert worden waren. Es werde angenommen, dass „Betrüger eine betrügerische mobile Banksoftware über den Android Market verteilt hätten“. Google habe die Anwendung wieder entfernt. Anwender sollten

• zur Sicherheit ihr Passwort ändern
• die Applikation sofort deinstallieren
• das Telefon umgehend zum Mobilfunkbetreiber bringen, um es vom dortigen technischen Team untersuchen zu lassen, um sicherzustellen, dass die Applikation vollständig entfernt ist und nicht von anderen Apps oder Aufzeichnungen innerhalb des Smartphones kompromittiert ist
• sich darüber im Klaren sein, dass die bedrohlichen Applikationen möglicherweise noch auf der Android-Lib-Website gehostet werden.

Der letzte Punkt ist grundsätzlich falsch, da auf der Android-Lib-Website kein Apps gehostet werden, sondern ausschließlich Links auf den Market mittels QR-Codes angezeigt werden. Eine App, die es im Market nicht gibt, kann auch über die Android-Lib-Website nicht heruntergeladen werden, was ohnehin nur bei gerooteten Telefonen funktionieren würde. Die anderen Punkte sind deswegen nicht zutreffend, weil es sich bei den fraglichen Apps nicht um Malware handelt.

Was die Apps wirklich tun, erklärt Mikko Hypponen, Chief Research Officer beim finnischen Sicherheitshersteller F-Secure. Er ist bekannt dafür, sich der allgemeinen Panikmache mit oft bewusst gestreutem FUD (Fear, Uncertainty and Doubt; deutsch: Angst, Unsicherheit und Zweifel) vieler Antiviren-Unternehmen zum Zwecke der Umsatzsteigerung nicht anzuschließen.

Im Interview mit der Computer World erläutert Hypponen, dass es sich um über 50 Apps handele, die alle von einem Entwickler stammten, der sich 09Droid nenne. Die Apps trügen den Namen von Banken wie „Deutsche Bank“ oder „Bank of America“ und versprächen Homebanking von einem Android-Handy aus, siehe Bild 7.

Das einzige was diese Applikationen täten, sei ein Browserfenster mit der Login-Seite der normalen Desktop-PC-Homebanking-Anwendung zu öffnen. Die Leistung der App bestehe also in der Bereitstellung eines Browser-Shortcuts. Dafür habe 09Droid allerdings 99 britische Pence (etwa 1,20 Euro) verlangt. Die Apps seien zwar überteuert, aber völlig harmlos.

Im F-Secure-Blog schreibt Hypponen allerdings, dass nicht klar sei, was diese Apps genau täten. Man hätte sich keine Kopien mehr sichern können, um das Verhalten zu analysieren. So schränkt er im Computer-World-Interview ein, dass es möglich, aber unwahrscheinlich sei, dass die Anwendungen bösartigen Code beinhalteten. In diesem Fall hätte 09Droid es in kurzer Zeit geschafft, einen Angriff auf Android-Basis zu entwickeln, der die Homebanking-Anwendungen von 50 Banken austricksen könne, was nahezu unmöglich ist.

Einen derartigen Hack hätte man besser für Windows entwickelt. Android wird laut Net Applications nur auf 0,14 Prozent (Stand: Juni 2010) aller Hardware eingesetzt, die Zugang zum Internet ermöglicht.