Android: Antiviren-Software leicht auszutricksen

Bei den mobilen Plattformen scheinen viele Fehler im Sicherheits-Bereich, die bereits auf PCs auftraten, erneut gemacht zu werden. Darauf deutet beispielsweise eine Untersuchung von Antiviren-Apps für Android hin. Informatiker aus den USA haben dafür ein Framework namens DroidChameleon entwickelt. Dieses ermöglicht die Ausstattung von Malware mit einer Reihe von Tarn-Mechanismen, die meist längst vom PC bekannt sind. Nahezu alle gängigen Sicherheits-Anwendungen der großen Hersteller ließen sich damit täuschen, berichteten die Forscher.

Sie griffen dafür auf Malware-Muster zurück, die auf der mobilen Plattform längst bekannt sind und von den Sicherheits-Anwendungen problemlos erkannt werden. Erweiterte man diese allerdings um einige Tarnfunktionen aus DroidChameleon, versagten die Scanner in den meisten Fällen, hieß es.

"Unsere Untersuchungsergebnisse zeigen, dass all die Anti-Malware-Produkte anfällig für ganz gewöhnliche Umgehungs-Techniken sind", heißt es im Bericht der Informatiker. Selbst relativ einfachen Veränderungen, die nicht einmal die Code-Basis an sich betreffen, würden ausreichen, um den Scannern zu entgehen. Getestet wurden dabei die Reaktionen von Produkten von Symantec, AVG, Kaspersky Lab, Trend Micro, ESET, ESTSoft, Lookout, Zoner, Webroot und Dr. Web.

Ein Problem liegt nach Einschätzung der Forscher darin, dass die Signatur-Prüfungen der meisten Antivirus-Apps unter Android sich darauf beschränken, bekannte Malware anhand von Dateinamen, Checksummen, Code-Sequenzen oder Informationen aus dem PackageManager-API zu identifizieren. Nimmt man hier entsprechende Veränderungen vor, werden die Sicherheits-Tools quasi von jeder neuen Malware-Version umgangen.

In dem Test nutzten die Forscher ihre Erkenntnisse beispielsweise um das Rootkit Droid Dream, das im Android-Bereich recht häufig zum Einsatz kommt, zu tarnen. Ihren Angaben zufolge versagten anschließend alle geprüften Scanner bei der Erkennung. Allerdings scheint es Hoffnung zu geben, dass die Sicherheits-Firmen intensiv an einer Verbesserung der Lage arbeiten. Wie es in dem Paper der Wissenschaftler heißt, habe sich die Erkennungsrate bei relativ einfachen Veränderungen in den letzten Monaten signifikant verbessert.