Eine Million Downloads: Google lässt gefälschte WhatsApp-App in Play Store

Cyberkriminellen ist es offenbar gelungen, eine gefälschte Version der WhatsApp-App in Googles Play Store einzuschleusen. Die App wurde einem Bericht von The Hacker News zufolge innerhalb kürzester Zeit mehr als eine Million Mal heruntergeladen. Das hat die Fake-App aber nicht nur der großen Beliebtheit von WhatsApp zu verdanken, sondern auch einem Bug in Googles Online-Marktplatz: der lässt offenbar Unicode-Zeichen im Namen des App-Anbieters zu, was es den Betrügern erlaubte, ihre Fake-App unter dem offiziellen Anbieternamen „WhatsApp Inc.“ der Facebook-Tochter WhatsApp zu veröffentlichen.

Eine zuverlässige Möglichkeit, falsche Apps zu erkennen, ist ein Blick auf den Namen des Anbieters. Der lautet im Fall von WhatsApp tatsächlich „WhatsApp Inc.“. Die Entwickler der fraglichen App mit dem Titel „Update WhatsApp Messenger“ wählten als Anbieterbezeichnung „WhatsApp+Inc%C2%A0“, was der Play Store jedoch als „WhatsApp Inc.“ anzeigt.

Entlarven lässt sich dieser Trick zudem nicht in der Play-Store-App, sondern nur im Browser. Die webbasierte Version des Marktplatzes zeigt nämlich beispielsweise bei einem Mouseover im Browser den tatsächlichen Link an, der zur Seite des Anbieters führt. Der offenbart die Verwendung von Unicode beziehungsweise den vollständigen Namen „WhatsApp+Inc%C2%A0“.

Zuerst entdeckt wurde die gefälschte App am vergangenen Freitag von Reddit-Nutzern. Demnach beschränkt sie sich darauf, unerwünschte Werbung anzuzeigen, worauf die App sogar in ihrem Play-Store-Eintrag hinweist. Sie bietet jedoch keine Messaging-Funktionen oder sonst irgendwelche Vorteile für WhatsApp-Nutzer.

„Ich habe die App installiert und dekompiliert“, schreibt ein Betroffener. Die App benötige nur die Berechtigung für den Internetzugriff. Sie lade zudem ein weiteres Android-Installationspaket herunter, das ebenfalls den Namen „whatsapp.apk“ trage. Zudem versuche sie sich vor den Nutzern zu verbergen, indem sie ein leeres Symbol im App-Drawer anzeige und nach der Installation auf einen App-Namen verzichte.

Google habe die App inzwischen aus seinem Angebot entfernt, heißt es weiter in dem Bericht. Es sei jedoch ein weiteres Beispiel dafür, dass Google nicht in der Lage sei, Betrugsversuche auf seiner App-Plattform zu unterbinden, und zwar selbst bei Apps mit mehr als einer Million Downloads.

Tatsächlich hätte Google der Betrugsversuch auffallen können, wenn es nicht nur den Originalnamen des Anbieters inklusive Unicode geprüft hätte, sondern auch den im Play Store angezeigten Namen. So konnten Betroffene eigentlich nur an dem Hinweis „Enthält Werbung“ einen Betrugsversuch festmachen, da WhatsApp zumindest derzeit noch verspricht, keine Werbung in Chats anzuzeigen. Auch die Bewertung der App lieferte nämlich laut den von The Hacker News veröffentlichten Screenshots keine Anhaltspunkte für einen Betrugsversuch: 6614 Nutzer hatten der App eine durchschnittliche Bewertung von 4,2 von 5 möglichen Sternen gegeben.

Tipp: Was wissen Sie über Mobile Apps? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de.