Android-Betrüger erschwindeln Millionen mit Bot-Netzwerk

Einer Analyse der Sicherheitsfirma Protected Media zufolge haben Betrüger über ein Netzwerk von Scheinfirmen Anzeigenkunden mit erworbenen Android-Apps um Millionen geprellt. So sollen verschiedene Briefkastenfirmen Apps gekauft und deren Anzeigenkunden mit Traffic-Zahlen beschwindelt haben, die in Wahrheit von Bots stammten.
Infografik: Die Top 10 Android-Apps in Deutschland
Offenbar hat die Scheinfirma 'We Buy Your App' in großem Stil Android-Apps erworben. Ziel war es, das Nutzerverhalten systematisch auszuspionieren. Auf Basis der Daten, so berichtet BuzzFeed, haben die Betrüger ein Netzwerk aus Bots auf die Apps zugreifen lassen. Die Bots haben wiederum Seitenaufrufe von tatsächlichen Besuchern auf Werbung innerhalb der App simuliert. So wurden die üblichen Sicherheitshürden umgangen und die Werbeerlöse künstlich in die Höhe getrieben.

Gute Preise für fremde Android-Apps

BuzzFeed berichtet von verlockenden Angeboten für einzelne Apps. So ist Steve Schoen, Entwickler von Emoji Switcher, von dem ominösen Unternehmen 'We Buy Your App' kontaktiert worden. Schoen freute sich über einen guten Preis, der in Bitcoin vorab bezahlt wurde, und schlug ein. "Ich würde sagen, es war mehr als ich erwartet hätte", sagt er heute. Was Schoen nicht wusste: 'We Buy Your App' hatte das Programm schnell an Unterfirmen und Einzelpersonen unter anderem auf Zypern, Malta, den British Virgin Islands, Kroatien oder Bulgarien im Google Store als scheinbare Urheber übertragen. Diese wiederum spähten das Nutzerverhalten der User aus und übertrugen den typischen Klick-Verlauf auf ein offenbar gigantisches Bot-Netzwerk, das so die üblichen Sperren umgehen konnte.

Damit konnten die Betrüger Anzeigenkontakte vortäuschen und dem Werbetreibenden berechnen, die es in der Realität gar nicht gegeben hatte. Die überzogenen Umsätze wurden dann wiederum auf die verschiedenen Unterfirmen verteilt, um die wahre Höhe des Gewinns zu verschleiern.

Kein Betrug nach Standardsystem

Nach Informationen von BuzzFeed sind 125 weitere Android-Apps betroffen. "Das ist nicht das Nullachtzünfzehn-Betrugssystem", sagt Asaf Greiner, Chef der Security-Firma Protected Media. "Wir sind beeindruckt von der komplexen Methodik, die zum Aufbau des Betrugssystems angewandt wurde. Gleichzeitig ist die Fähigkeit der Kriminellen beeindruckend, unter dem Radar zu bleiben."

Das System wurde grundsätzlich bereits im Juni vom Sicherheitsunternehmen Pixalate beschrieben. So könnte Anzeigenkunden pro Jahr über eine einzige App ein Schaden von 75 Mio. Dollar entstehen. Andere Quellen sprechen von dem Zehnfachen dieses Betrages.

Die 125 von BuzzFeed identifizierten Betrugs-Apps sind laut der App-Vermarktungsagentur AppBrain auf mehr als 115 Millionen Android-Handys installiert. Eine der angeblich betroffenen Apps ist EverythingMe mit über 20 Millionen Installationen.

Bots überfluten Anzeigen

Sowie die Apps übernommen sind, werden sie weiterhin mit Updates gepflegt, um die Nutzer zu halten. So wird ein bestimmtes Verhaltensmuster ermittelt, das auf das Bot-Netzwerk übertragen wird. Die Umsätze aus den scheinbar erzielten Anzeigenkontakten werden dann auf mehrere Scheinfirmen verteilt, um die wahren Erträge zu verschleiern.

Nach AppsFlyer, einer auf Apps spezialisierten Marktforschungsfirma, sind den Werbetreibenden durch diesen Betrug alleine im ersten Quartal diesen Jahres zwischen 700 und 800 Mio. Dollar an Kosten entstanden.