Studie: Android-Passwortmanager fallen auf Fake-Apps rein

Passwort-Manager für Googles Mobilbetriebssystem Android fällt es offenbar schwer, zwischen legitimen und gefälschten Apps zu unterscheiden. Zu dem Ergebnis kommt eine Studie von Forschern der Universität Genua (PDF) und der französischen Sicherheitsfirma Eurecom mit dem Titel „Phishing-Angriffe auf modernes Android“. Demnach lassen sich Funktionen von Android missbrauchen, um per Phishing Anmeldedaten auszuspähen.

Die Forscher stellten unter anderem fest, dass die ursprünglich für Desktop-Browser entwickelten Passwort-Manager unter Android nicht so sicher sind wie auf dem Desktop. Grund dafür sei, dass sie unter Umständen für eine Website gespeicherte Anmeldedaten auf dem mobilen Gerät einer falschen App zuordneten. Viele Passwort-Manager nutzten für die Zuordnung nämlich nur den Namen des Installationspakets der App.

Die Paketnamen seien jedoch nicht vertrauenswürdig und könnten von Betrügern leicht gefälscht werden. Das führe zu Situationen, in den eine schädliche App einen mobilen Passwort-Manager dazu verleiten könne, sie mit einer legitimen Website in Verbindung zu bringen.

Screenshots sollen belegen, dass bei Tests gefälschte Facebook-Apps von verschiedenen Passwort-Managern die Anmeldedaten für das Social-Network abrufen konnten. In der Praxis würden die gezeigten Fake-Apps zwar auffliegen, die Forscher betonen jedoch, dass für echte Angriffe die gefälschten Apps so gestaltet würden, dass sie von den echten Versionen nicht oder kaum zu unterscheiden seien.

Darüber hinaus befürchten sie, dass falls ein Nutzer eine Fake-App tatsächlich als verdächtig einstuft, er seine Bedenken aufgeben wird, sobald sein Passwort-Manager die App als echt bewertet und versucht, die Anmeldedaten einzugeben.

Insgesamt untersuchten die Forscher fünf Passwort-Manager. Vier davon, Keeper, Dashlane, LastPass und 1Password forderten ihre Nutzer bei den Tests auf, ihre Anmeldedaten in gefälschte Apps einzugeben. Googles Smart-Lock-App fiel indes nicht auf den Trick mit den gefälschten Paketnamen herein. Sie nutzt ein System namens Digital Asset Links, um die Echtheit der Apps zu überprüfen und eine Verbindung herzustellen.

Die Forscher kritisieren in ihrer Studie aber auch, dass Passwort-Manager bestimmtes verdächtiges Verhalten von Apps, das typisch für Phishing ist, offenbar ignorieren. So geben sie die Anmeldedaten in Formulare mit einer Transparenz-Einstellung von 0,01 ein, was die Formulare nahezu unsichtbar macht. Auch Formulare, die dieselbe Farbe für Vordergrund und Hintergrund nutzen und deswegen ebenfalls nahezu unsichtbar sind, werden bedient. Das gilt auch für Formulare, die nur 1 mal 1 Pixel groß sind.

Zudem funktionierten die Passwort-Manager mit Instant Apps, die eigentlich nur kurzzeitig und für Testzwecke installiert werden. Nach Ansicht der Forscher sollten Instant Apps jedoch grundsätzlich nicht unterstützt beziehungsweise als nicht vertrauenswürdig eingestuft werden, da sie nur für eine vorübergehende Nutzung gedacht seien.

Um die Sicherheit von Passwort-Managern zu verbessern, schlagen die Forscher den Entwicklern von Apps vor, Digital Asset Links in ihre Apps einzubauen, die dann von den Passwort-Managern benutzt werden können. Google stellten sie zudem eine Programmierschnittstelle (API) zur Verfügung, mit der Anbieter von Passwort-Managern eine Abfrage der Digital Asset Links zur Überprüfung der Echtheit von Apps in ihre Produkte einbauen können. Ob Google die API in Android OS integrieren wird, ist bisher nicht bekannt.

HIGHLIGHT

Report: State of Digital Transformation EMEA 2019

Zu den größten Hürden der digitalen Transformation zählen der mobile Zugriff auf Unternehmensdaten und Anwendungen, die Nutzung unsicherer Netzwerke und nicht verwalteter Geräte. Das geht aus dem Report „State of Digital Transformation EMEA 2019“ von Zscaler hervor. Jetzt den vollständigen Report herunterladen!

Stefan Beiersmann @beiersmann

Stefan unterstützt seit 2006 als Freier Mitarbeiter die ZDNet-Redaktion. Wenn andere noch schlafen, sichtet er bereits die Nachrichtenlage, sodass die ersten News des Tages meistens von ihm stammen.

Recent Posts

Samsung Internet 11 bringt Update der Chrome-Engine auf Version 75

Derzeit liegt der Browser noch als Beta-Version vor. Die Version 11.0.00.73 enthält auch den Videoassistenten zurück, der erweiterte Steuerungsfunktionen für…

10 Stunden ago

Apple gibt iOS 13.2.3 und iPadOS 13.2.3 zum Download frei

Die Updates beheben erneut ein Problem mit Hintergrund-Apps. Außerdem korrigieren die Entwickler Fehler in der iOS-Suche und der Mail-App. Es…

16 Stunden ago

Roborock-Alternative: Saugroboter 360 S7 für 344 Euro

Gearbest bietet den 360 S7 aktuelle für 343,87 Euro aus einem europäischen Warenlager an. Die Lieferzeit liegt daher nur bei…

17 Stunden ago

Android-Bug: Schädliche Apps umgehen Gerätesperre und kontrollieren Kamera

Die Schwachstelle hebelt die Android-Berechtigungen für Kamera und Mikrofon aus. Eine schädliche App kann auch Telefonate aufzeichnen und GPS-Daten aus…

20 Stunden ago

Huawei: US-Regierung verlängert Ausnahmeregelung um 90 Tage

Die US-Regierung hat zum dritten Mal die Ausnahmeregelung für Huawei um 90 Tage verlängert. Der Grund dafür liegt in der…

1 Tag ago

Windows: Microsoft plant Integration von DNS over HTTPS

Kommende Insider-Versionen von Windows 10 sollen laut Microsoft Support für die Verschlüsselung von DNS-Abfragen bieten. Windows ist damit das erste…

1 Tag ago