Google Play: Super Free Music Player enthielt Schadsoftware

Der Musikplayer Super Free Music Player enthielt Malware, wie die Experten von SophosLabs jetzt mitteilten. Die datieren seinen Upload bei Google Play auf den 31. März 2017. Der Player konnte den Spezialisten zufolge innerhalb kürzester Zeit zwischen 5.000 und 10.000 Downloads verbuchen. Zwar wurde der Malware-infizierte Player von Google Play entfernt, Sophos rechnet aber damit, dass es weitere Angriffsversuche mit ähnlichen Apps und Angriffstechnologien geben wird.

Die Applikation nutzte eine raffinierte Technik, den Spürsinn von Google und Sicherheitstools zu umgehen, wie die Experten erklären. Bekannt ist dieses Verfahren schon aus der Game-App BrainTest, die mit ihrer Malware eine Infektionsrate zwischen 200.000 und 1 Million Usern hatte. Zu den Techniken der Malware zählen die Nutzung von Zeitbomben, Domain- und/oder IP-Mapping, die Verwendung von dynamischem Code und Spiegelung und der Einsatz von multiplen Ebenen.

Die Malware ist in der Lage, zusätzlichen Schadcode von entfernten Webseiten zu downloaden und Geräteinformationen hochzuladen, inklusive aller installierten Apps, Wohnort, Sprache, Model, SDK Versionen etc.

„Sophos hat die Schadsoftware als Andr/Axent-DS ausfindig gemacht und es ist wahrscheinlich, dass wir diese Malware in anderen Apps wieder sehen. Wir haben diese Malware analysiert und die Nutzer von Sophos Mobile Security sind geschützt“, erklärt Michael Veit, Technology Evangelist bei Sophos. „Wir haben die kostenlose Sophos Mobile Security für Android im Programm, die jedem Endanwender einen zuverlässigen Schutz bietet. Dieses Beispiel zeigt, dass auch vertrauenswürdige Anbieter wie Google Play Malware nicht ausschließen können und das war sicher nicht die letzte Attacke dieser Art.“

SophosLabs hat die Charakteristik des Super Free Music Players herausgearbeitet. Die sich selbst ausführende Programmdatei – der so genannte Dropper – , die man auf Google Play herunterlädt, heißt com.superfreemusic.songapp. Zuerst startet der Dropper jede Stunde einen bestimmten Service, um den Schad-Code (Payload) zu entschlüsseln und zu starten. Dann nutzt der Dropper dynamischen Code und Spiegelungen, um die Payload-Methode zu laden. Um nicht von Google Play erkannt zu werden, prüft die Payload, ob das Gerät ein echtes Handy ist oder vielleicht nur eine Entwicklungsumgebung. Dazu prüft sie verschiedene Eigenschaften wie zum Beispiel die Telefonnummer (15555215554, 15555215556…) und spezifische andere Merkmale. Eine weitere „Zeitbombe“ wartet acht Stunden, um die schadhafte Payload zu starten. Diese kann weitere verschlüsselte Payloads von entfernteren Webseiten herunterladen. Anschließend übermittelt sie eine Liste der Geräteinformationen an eine hxxp-Seite.