SmartTube: Kriminelle kapern den populären YouTube-Client für Android

Die weitverbreitete Android-TV-App SmartTube, eine quelloffene Alternative zum offiziellen YouTube-Client, ist in den vergangenen Tagen Ziel eines schwerwiegenden Angriffs geworden.

Signaturschlüssel geklaut

Wie sich inzwischen herausstellte, konnte ein Angreifer Zugriff auf die digitalen Signaturschlüssel des Entwicklers erlangen und mit dessen Hilfe dann manipulierte Versionen der App verbreiten. Erst durch Warnmeldungen von Play Protect, dem integrierten Sicherheitssystem Androids, wurde der Vorfall vielen Nutzern bewusst.

Der SmartTube-Entwickler Yuriy Yuliskov bestätigte laut eines Berichts von BleepingComputer, dass seine Signaturschlüssel gegen Ende der vergangenen Woche kompromittiert wurden. Infolgedessen gelangte Schadcode in mehrere SmartTube-Versionen, die anschließend regulär signiert und von vielen Anwendern installiert wurden. Yuliskov hat die betroffenen Schlüssel inzwischen für ungültig erklärt und angekündigt, in Kürze eine neu signierte App mit geänderter Paketkennung anzubieten. Nutzer sollen zeitnah auf diese neue Ausgabe umsteigen.


Für Aufsehen sorgte vor allem eine Analyse der manipulierten Version 30.51, in der eine unbekannte native Bibliothek mit der Bezeichnung libalphasdk.so entdeckt wurde. Diese existiert im öffentlich zugänglichen Quellcode nicht. Erste Untersuchungen legen nahe, dass diese Bibliothek im Hintergrund Geräteinformationen sammelt, sie an einen entfernten Server übermittelt und regelmäßig Konfigurationsdaten nachlädt. Für den Nutzer war dieser Prozess völlig unsichtbar. Hinweise auf aktiven Missbrauch wie Kontodiebstahl oder die Einbindung in Botnetze gibt es bislang zwar nicht, doch die verdeckte Kommunikation birgt erhebliches Gefahrenpotenzial.

Sichere Version kommt bald

Yuliskov hat über Telegram zwar erste "sichere" Testversionen angekündigt, doch diese wurden bislang nicht im offiziellen GitHub-Repository veröffentlicht. Zudem fehlen weiterhin detaillierte Angaben zum Ablauf des Angriffs, was in der Community für zunehmende Verunsicherung sorgt. Der Entwickler versprach aber, die Ereignisse in einem ausführlichen Bericht offenzulegen, sobald die neue, geprüfte App-Generation im F-Droid-Store verfügbar ist.

Bis dahin warnen Fachleute und Community-Mitglieder gleichermaßen vor aktuellen Installationen. Empfohlen wird, auf ältere, als unbedenklich geltende Builds zurückzugehen, automatische Updates zu deaktivieren und keine Premium- oder sensiblen Kontodaten in SmartTube zu verwenden. Betroffene sollten zudem ihre Google-Passwörter ändern und ihre Konten auf ungewöhnliche Aktivitäten prüfen. Nach bisherigen Erkenntnissen sind insbesondere die Versionen 30.43 bis 30.47 betroffen, ältere Ausgaben wie 30.19 scheinen nicht von Play Protect beanstandet zu werden.


Siehe auch: