Thought Leadership
Werbeanzeigen nach Telefonaten: Betrügerische Android-Apps nutzen Berechtigungen aus, um unerwünschte Einblendungen auf Geräten zu erzeugen.
Sicherheitsforscher des DV Fraud Lab bei DoubleVerify haben ein betrügerisches Werbeschema auf Android-Geräten analysiert. Dabei schalten als Alltagshelfer wie Wecker, Kalender oder Notiz-Apps getarnte Anwendungen unerwünschte Werbeanzeigen direkt nach dem Beenden von Telefonaten. Die Anwendungen verleiten Nutzer dazu, die erweiterte Systemberechtigung SYSTEM_ALERT_WINDOW zu erteilen, die das Einblenden von Inhalten über anderen Anwendungen ermöglicht. Da diese Berechtigung manuell in den Systemeinstellungen aktiviert werden muss, täuschen die Entwickler Notwendigkeiten vor, etwa die korrekte Funktion eines Weckers bei gesperrtem Bildschirm. Nir Danon, Sicherheitsforscher bei DoubleVerify, erläuterte das Phänomen wie folgt:
„Wir nennen solche Anzeigen ‚AfterCall‘-Anzeigen. Sie erscheinen am Ende eines Telefonats, außerhalb des normalen Kontextes der App.“
Nir Danon, Sicherheitsforscher bei DoubleVerify
Abhören des Telefonstatus und Verschleierung im System
Nach der Freigabe der Berechtigung überwachen die Apps über den Befehl ACTION_PHONE_STATE_CHANGED den Status des Telefons. Sobald das System vom Zustand des Klingelns in den Leerlauf wechselt, was das Ende des Gesprächs signalisiert, wird die Werbeeinblendung ausgelöst. Die Anzeigen enthalten meist Gesprächsdetails und eine gefälschte Benutzeroberfläche, unter der die Werbung platziert ist.
Um einer Entdeckung durch Anwender vorzubeugen und die Deinstallation zu erschweren, entfernen sich die betroffenen Programme automatisch aus der Liste der zuletzt geöffneten Anwendungen. Im Bericht von DoubleVerify heißt es zur Verbreitung dieser Methode: „Das DV FraudLab deckt jeden Monat Dutzende dieser Apps auf, die zusammen für Hunderte Millionen von Einblendungen verantwortlich sind.“
Maßnahmen zur Identifizierung und Entfernung betroffener Anwendungen
Zur Identifizierung und Entfernung der verursachenden Software müssen Anwender die Berechtigungseinstellungen des Betriebssystems prüfen. Über das Einstellungsmenü im Bereich Spezialzugriff lässt sich die Liste der Anwendungen einsehen, die für das Einblenden über anderen Apps autorisiert sind. Verdächtige Hilfsprogramme oder ungewollte Anwendungen können an dieser Stelle deaktiviert oder anschließend vollständig vom Gerät gelöscht werden.
(red)
