Play Store: Hacker wandeln Android-App nachträglich in Malware um

Forscher des Sicherheitsanbieters Eset haben im offiziellen Android-Marktplatz Google Play eine mit Schadsoftware verseuchte App entdeckt. Ursprünglich wurde die App im September 2021 als harmloser Screen Recorder veröffentlich – nachträglich wurde aus der App jedoch ein Trojaner, der Daten stiehlt.

Das schädliche Update, das von Googles Sicherheitskontrollen nicht entdeckt wurde, wurde im August 2022 hochgeladen. Eset geht davon aus, dass die iRecorder genannte App ab der Version 1.3.8 als Schadsoftware einzustufen ist. Insgesamt wurde die App auf mehr als 50.000 Geräten installiert.

Schadcode basiert auf bekanntem Trojaner

„Es ist ungewöhnlich, dass ein Entwickler eine legitime Anwendung hochlädt, fast ein Jahr wartet und sie dann mit bösartigem Code aktualisiert“, erklärten die Forscher. Bei dem Schadcode handele es sich um eine Version des Android Remote Access Trojan (RAT) AhMyth. Die neue Version nennen die Eset-Forscher AhRat.

Ihnen zufolge wurde schon früher Spyware, die auf AhMyth basiert, im Play Store entdeckt. Eine andere mit AhRat infizierte App fanden die Forscher indes bisher nicht.

iRecorder ab Version 1.3.8 ist nicht nur in der Lage, Bildschirminhalte aufzuzeichnen, sondern auch über die Mikrophone eines mobilen Geräts alle Umgebungsgeräusche aufzuzeichnen – und an einen von den Angreifern kontrollierten Befehlsserver zu übermitteln. Darüber hinaus kann AhRat diverse Dateitypen hochladen, darunter Bilder, Videos, Audiodateien und Dokumente. Eset vermutet, dass die iRecorder-App für Spionagezwecke mit Malware verseucht wurde. Einer bestimmten Gruppe konnte die App jedoch nicht zugeordnet werden.

Malware-Update aus dem Play Store

Eset weist darauf hin, dass das Malware-Problem auch Nutzer betrifft, die vor August 2022 die zu dem Zeitpunkt noch unschädliche App installiert haben. Sie hätten anschließend das schädliche Update automatisch über den Play Store erhalten. Auch seien für die schädlichen Funktionen keine weiteren App-Berechtigungen erforderlich.

Google hat die App inzwischen aus dem Play Store entfernt. Sie soll aber weiterhin in nicht offiziellen Marktplätzen erhältlich sein. Andere Apps des iRecorder-Entwicklers im Play Store seien indes nicht mit Schadcode belastet.