Trend Micro: Schädliche App im Play Store bucht kostenpflichtige Abos

Trend Micro hat erneut eine gefährliche App im offiziellen Android-Marktplatz Google Play entdeckt. Die angebliche Kamera-App verspricht besonders schöne Portrait-Aufnahmen. Sie bietet zwar tatsächlich die im Play Store beschriebenen Funktionen – dass die App aber auch kostenpflichtige Premium-Abonnements abschließen kann, wird dort bewusst verschwiegen.

Die App verfügt über eine Routine, die es ihr erlaubt, per SMS verschickte Bestätigungscodes in den Benachrichtigungen zu lesen. Dafür fordert sie die Berechtigung für den Zugriff auf Benachrichtigungen ein.

Wird diese gewährt, lädt die App eine Datei herunter, die unter anderem WAP-Adressen für Abonnements sowie JavaScript-Schadcode enthält. Anschließend öffnet sich im Hintergrund eine WAP-Abrechnungsseite, auf der der zuvor geladene JavaScript-Code automatisch das Abonnement abschließt und dabei eine eindeutige Identifizierung des Smartphones des Opfers erlaubt.

Schließlich kommt die zuvor gewährte Berechtigung für den Zugriff auf Benachrichtigungen ins Spiel. Der JavaScript-Code ist nämlich auch in der Lage, den Bestätigungs-Code für das Abonnement auszulesen und automatisch in die WAP-Abrechnungsseite im Hintergrund einzugeben, wodurch das Abonnement bestätigt wurde. Die Abrechnung erfolgt dann über die Mobilfunkrechnung – Opfer stellen möglicherweise erst dann fest, dass ihnen ein Abonnement untergeschoben wurde.

Derzeit nimmt die App laut Trend Micro vor allem Nutzer in Südostasien und seit Kurzem auch in China ins Visier. Von daher nehmen die Forscher an, dass die Hintermänner die Verbreitung der App schrittweise ausweiten. Zwar sei die App inzwischen aus dem Play Store entfernt, ähnliche Apps fänden sich indes nun in Apples App Store für iOS, ergänzten die Forscher.

Infektionskette der schädlichen App Yellow Camera (Bild: Trend Micro)Außer der Yello Camera genannten App entdeckte Trend Micro weitere Anwendungen – auch im Play Store – , die dieselbe Masche verfolgen. Unklar ist jedoch, ob sie von denselben Hintermännern stammen oder ob andere Cyberkriminelle denselben Ansatz verfolgen.

Hierzulande wären solche Abonnements zumindest rechtlich unwirksam, was jedoch nicht verhindern würde, dass unter Umständen eine Abrechnung über die Mobilfunkrechnung erfolgt. Generell verhindern lassen sich solche Betrugsversuche mit einer sogenannten kostenlosen Drittanbietersperre, die der Mobilfunkbetreiber auf Verlangen einrichten muss. Dadurch werden die für ein Abonnement benötigten Daten nicht an Drittanbieter übermittelt.