Kaspersky Lab hat herausgefunden, dass einige weit verbreitete mobile Anwendungen Nutzerdaten unverschlüsselt übertragen. Verantwortlich dafür sind allerdings nicht die Apps selbst, sondern unsichere Software Development Kits (SDKs) für Werbeanzeigen.
Diese Tools, die oftmals kostenlos von Dritten bereitgestellt werden, sammeln Nutzerdaten, um relevante und zielgerichtete Anzeigen einzublenden. Sind die SDKs nicht sicher, können sie die Sicherheit der gesamten App kompromittieren.
Kaspersky zufolge werden Nutzerdaten oft ungesichert und unverschlüsselt per HTTP an die Server der Werbeplattformen übertragen. „Sie sammeln Nutzerdaten, um relevante Werbung anzuzeigen, schützen die Daten aber oft nicht während der Übermittlung an ihre Server“, sagte Kaspersky-Forscher Roman Unuchek. „Abgefangene Daten können verändert werden, was dazu führen kann, dass die App schädliche anstatt legitimer Werbung anzeigt. Nutzer werden dann zum Download einer beworbenen App verleitet, die sich als Malware herausstellt.“
Welche Apps betroffen sind, teilte Kaspersky Lab nicht mit. Es soll sich jedoch um Anwendungen mit mehreren Millionen Installationen weltweit handeln. Daten wie Namen, Alter, Geschlecht, Telefonnummern, E-Mail-Adressen, Geräteinformationen und Standortdaten werden an Domains von Werbenetzwerken wie mopub.com, rayjump.com, tappas.net, nexage.com und appsgeyser.com übertragen.
Anfänglich sei Kaspersky davon ausgegangen, dass es sich nur wenige Beispiele „nachlässiger App-Entwicklung“ handele. Das gesamte Ausmaß des Problems sei jedoch „überwältigend“. „Millionen von Anwendungen enthalten Drittanbieter-SDKs, die private Daten preisgeben, die sich leicht abfangen und verändern lassen – was zu Malware-Infektionen, Erpressung und anderen sehr effektiven Angriffsvektoren auf diese Geräten führen kann“, ergänzte Unuchek.
Grundsätzlich hätten inzwischen mehr als 60 Prozent aller mobilen Apps ihre Kommunikation auf sicheres HTTP (HTTPS) umgestellt. 90 Prozent dieser Apps verwendeten für einzelne Prozesse jedoch immer noch ungesichertes HTTP. Es liege nun an den Entwicklern, vollständig auf HTTPS umzusteigen und zum Schutz der Privatsphäre der Nutzer für jegliche Kommunikation eine Verschlüsselung zu aktivieren.
Bis dahin sollten Nutzer die Berechtigungen im Auge behalten, die sie einer App gewähren. Zudem sollten sie die Nutzung einer VPN-Verbindung in Betracht ziehen, um den Datenverkehr zwischen ihren Geräten und Servern zu schützen.
Tipp: Was wissen Sie über Mobile Apps? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de.
Ziel dieses Ratgebers ist es, SAP-Nutzern, die sich mit SAP S/4HANA auseinandersetzen, Denkanstöße zu liefern, wie sie Projektrisiken bei der Planung Ihres SAP S/4HANA-Projektes vermeiden können.
Der Cybersecurity Report von Hornetsecurity stuft 2,3 Prozent der Inhalte gar als bösartig ein. Die…
Die Hintermänner haben es auf Zugangsdaten zu Microsoft Azure abgesehen. Die Kampagne ist bis mindestens…
Cloud-Plattform für elektronische Beschaffungsprozesse mit automatisierter Abwicklung elektronischer Rechnungen.
Mindestens eine Schwachstelle erlaubt eine Remotecodeausführung. Dem Entdecker zahlt Google eine besonders hohe Belohnung von…
Nur rund die Hälfte schaltet während der Feiertage komplett vom Job ab. Die anderen sind…
Security-Experten von Check Point sind einer neuen Angriffsart auf die Spur gekommen, die E-Mail-Schutzmaßnahmen umgehen…
