Google Play Store: 41 Apps mit Malware Judy verseucht

Mitarbeiter der Sicherheitsfirma Check Point haben laut eigenen Angaben die bisher größte Malware-Kampagne im Google Play Store entdeckt. Die mit Judy getaufte Malware steckt demnach in 41 Apps.

Sie wurden von dem koreanischen Unternehmen Kiniwini, das im Play Store unter Enistudio firmiert, entwickelt und erreichen eine Verbreitung von bis zu 18,5 Millionen Downloads. Einige der Apps sind seit Jahren auf Google Play verfügbar. Laut Check Point ist es aber unklar, wie lange sie von den Cyberkriminellen genutzt wurde.

Bei der Malware handelt es sich um sogenannte Auto-Clicking-Adware. Diese Art von Schadcode wird zum Zweck des Klickbetrugs genutzt. Ziel ist es, mit solchen Klicks die Abrechnungssysteme von Werbetreibenden zu manipulieren und Einnahmen zu generieren.

Check Point hat den Schadcode außerdem in Anwendungen eines anderen Entwicklers gefunden. Die Beziehungen zwischen den beiden Firmen sei unklar. Klar ist hingegen, dass die zuletzt im April 2016 aktualisierten Programme, wie die aktuelle Kampagne, sehr weit verbreitet waren. Laut Check Point wurden sie bis zu 18 Millionen Mal installiert. Damit erreicht Judy insgesamt eine Verbreitung von über 36 Millionen Downloads. Nachdem Check Point Google über die verseuchten Apps im Play Store informiert hatte, wurden sie umgehend gelöscht.

So funktioniert Judy

Der Schadcode ist zunächst nicht in der App enthalten. Damit wurde sie auch nicht von den Schutzmechanismen des Play Store entdeckt. Der schadhafte Code gelangt erst nach Installation auf die Geräte der Anwender. Die vermeintlich „gute“ App nimmt Kontakt zu den Command und Control Server (C&C) auf und diese laden den eigentlichen Schadcode, der JavaScript-Code, einen User-Agent-String und URLs enthält, auf die Geräte der Anwender.

Die Malware öffnet die URLs mit dem User-Agenten, der einen PC-Browser nachahmt. Sobald die Ziel-Website geladen ist, sucht die Malware mit dem JavaScript-Code die Banner und führt anschließend einen Klick aus. Außerdem berichten einige Anwender, dass auch auf dem Gerät selbst haufenweise Anzeigen eingeblendet wurden, die sich nur dadurch entfernen ließen, indem man auf sie geklickt hat.

Den Angreifern kommt offenbar zugute, dass das Google-Werbenetzwerk betrügerische Klicks nicht von echten unterscheiden kann.