Mobile Adware ist möglicherweise nicht unmittelbar so schädlich (und zieht möglicherweise nicht so viel Aufmerksamkeit auf sich) wie mobile Malware – dennoch handelt es sich hierbei um eine störende, die Funktion mobiler Geräte extrem beeinträchtigende Software.

Die Forscher der SophosLabs haben sich mit einem Netzwerk von Adware-Apps beschäftigt, dem es gelungen ist, die Beschränkungen des Google Play-Marktes zu umgehen. Google hat bereits Maßnahmen ergriffen und die in diesem Bericht aufgeführten Apps aus dem Online-Shop entfernt. Doch waren zu diesem Zeitpunkt die 84 Apps schon auf mehrere Millionen Geräte heruntergeladen worden, die am häufigsten heruntergeladene App war TV Remote.

Ein Entwickler, so stellen die Sophos-Experten fest, bringt derweil immer weitere Apps heraus, die das gleiche Verhalten zeigen. Die betroffenen Apps umfassen die gesamte Bandbreite von Spielen über Hilfsprogramme (z. B. sogenannte „Batterie-Booster“ oder Fernsehfernbedienungen) bis hin zu Apps, die das Hintergrundbild ändern oder Bilder mit „Stickern“ auf Fotos überlagern.

So arbeitet die Schadware

Sobald Benutzer eine der Apps installiert haben, initialisiert sich diese selbst und legt dann eine Hintergrundaufgabe fest, mit der Vollbildanzeigen auf mobile Geräte geschaltet werden sollen – einige, wenn sich Benutzer mit den Apps beschäftigen, andere mithilfe eines Timers. Viele Anzeigen werben wiederum für andere Apps mit demselben Verhalten, die dann bei jeder zusätzlichen Installation den Besitzer des Geräts mit noch mehr Vollbildwerbung bombardieren können.

Ein Beispiel: direkt nach dem Start eines Autorennspiels mit dem Namen „City Racing Parking“ (com.hemanlia.cityracing.parking), zeigt die App eine Vollbildanzeige für eine andere Renn-App, „Racing Tour“ (com.hemanlia.racing.circuit).  Bei den meisten dieser Apps wurde sogar eine Vollbildanzeige für eine andere App geschaltet, noch bevor dem Benutzer die App selbst angezeigt wurde. Von Zeit zu Zeit entscheidet der Anzeigencode, dass eine Anzeige im Vollbildmodus nicht aufdringlich genug ist, und während die eine Werbung im Vollbildmodus angezeigt wird, wird darüber bereits eine weitere eingeblendet. Die Anzeigen graben sich so immer tiefer, sodass es immer schwieriger wird, das betroffene Gerät einfach zu verwenden und die Anzeigen durch tippen auf das kleine X zu schließen. Das Gerät wird sozusagen überflutet.

Einige der Apps haben eine sehr eingeschränkte Funktion. Zum Beispiel besteht der Funktionalitätsumfang von „Sticker“-Apps etwa darin, den in WhatsApp standardmäßig zur Verfügung gestellten Bildern 10 bis 20 kleine Emoji-ähnliche Bilder hinzuzufügen. Diese Apps können im Laufe der Zeit in immer kürzerer Zeit aufdringliche Vollbildwerbung schalten und das sogar dann, wenn andere Apps im Vordergrund stehen. Viele der 84 Apps, aus denen das Originalset bestand, sind im Wesentlichen Klone voneinander.

Code-Analyse der Android-Adware

Die Analyse dieser Apps zeigt nichts besonders Ausgefeiltes: Die Entwickler haben ihren Code nicht verschleiert. Der Quellcode enthält normale Komponenten, z. B. Code zum Starten der Haupt-App-Aktivität, bei bestimmten Ereignissen ausgesuchte Empfänger und (natürlich) Anweisungen zum Laden von Anzeigen. Darüber hinaus wurde auch Code aus legitimen, in Apps eingebetteten, Anzeigen-Frameworks von Drittanbietern gefunden: Jede URL, die zu einer JPEG-Datei führt, führt zu einem anklickbaren Bild. Jede übereinstimmende URL, die zu einer TXT-Datei führt, ruft einen Namen der beworbenen App ab.

Wie verdienen Entwickler Geld mit ihren Ad-Apps?

Ein gängiges Modell zum Gelderwerb beruht darauf, dass Nutzer auf Anzeigen klicken. Der Umsatz hängt von der Anzahl von angezeigten Werbeanzeigen (so genannten Impressionen) sowie von einer Klickrate (Click-Through-Rate – CTR) ab. Dies ist die Anzahl der Klicks aller Werbeanzeigen, die dem Nutzer angezeigt werden.

Dieses Modell motiviert Entwickler direkt dazu, Vollbild-Anzeigen (Interstitial-Anzeigen) zu präsentieren, was zu einer höheren CTR führt. Die CTR-Rate für solche Vollbildanzeigen erreicht 5 Prozent aller Werbeanzeigen, die dem Nutzer angezeigt werden. „Es ist unnötig zu erwähnen, dass ein Satz aggressiver Apps mit Millionen von Installationen das Potenzial hat, beträchtliche Einnahmen für die Entwickler zu erzielen“, sagt Michael Veit, Security Evangelist bei Sophos. „Deshalb gilt auch beim Herunterladen von Apps stets, auf Sinn und Nutzen zu schauen und Vorsicht walten zu lassen.“

Den gesamten Bericht der Sophos Labs lesen sie hier:

https://news.sophos.com/en-us/2019/02/21/abusive-mobile-adware-aggressively-touts-more-adware/

Firmenkontakt und Herausgeber der Meldung:

Sophos Technology GmbH
Gustav-Stresemann-Ring 1
65189 Wiesbaden
Telefon: +49 (611) 5858-0
Telefax: +49 (611) 5858-1042
http://www.sophos.de

Ansprechpartner:
Arno Lücht
TC Communications
Telefon: +49 (8081) 954619
E-Mail: sophos@tc-communications.de
Thilo Christ
TC Communications
Telefon: +49 (8081) 954617
E-Mail: sophos@tc-communications.de
Ariane Wendt
Telefon: +1 (724) 536839
E-Mail: sophos@tc-communications.de
Jörg Schindler
PR Manager EMEA
Telefon: +49 (721) 25516-263
E-Mail: joerg.schindler@sophos.com
Ulrike Masztalerz
TC Communications
Telefon: +49 (30) 55248198
E-Mail: sophos@tc-communications.de
Für die oben stehende Pressemitteilung ist allein der jeweils angegebene Herausgeber (siehe Firmenkontakt oben) verantwortlich. Dieser ist in der Regel auch Urheber des Pressetextes, sowie der angehängten Bild-, Ton-, Video-, Medien- und Informationsmaterialien. Die United News Network GmbH übernimmt keine Haftung für die Korrektheit oder Vollständigkeit der dargestellten Meldung. Auch bei Übertragungsfehlern oder anderen Störungen haftet sie nur im Fall von Vorsatz oder grober Fahrlässigkeit. Die Nutzung von hier archivierten Informationen zur Eigeninformation und redaktionellen Weiterverarbeitung ist in der Regel kostenfrei. Bitte klären Sie vor einer Weiterverwendung urheberrechtliche Fragen mit dem angegebenen Herausgeber. Eine systematische Speicherung dieser Daten sowie die Verwendung auch von Teilen dieses Datenbankwerks sind nur mit schriftlicher Genehmigung durch die United News Network GmbH gestattet.