Android Installer Hijacking - Malwareproblem bei alternativen App Stores

Der Sicherheitsdienstleister Palo Alto Networks macht derzeit auf einen Fehler in Handling von App-Downloads auf Android-Smartphones und Tablets aufmerksam. Wie das Unternehmen berichtet, können Angreifer Downloads manipulieren, sodass nicht die eigentlich gewollte App, sondern Malware auf dem Gerät landet.

Möglich wird das durch eine Sicherheitslücke, die bei der Überprüfung der angestoßenen Downloads auftaucht. Doch vorab die gute Nachricht: Das Problem betrifft nicht den Play Store, also nicht die originäre Quelle für Android-Apps von Google. Wer nur Apps bei Google direkt lädt, ist also schon einmal sicher vor dem Android Installer Hijacking. Laut Palo Alto Networks sind aber fast die Hälfte aller Geräte betroffen, können sich also Malware aus Alternativen Stores (von den Herstellern der Smartphones beispielsweise oder direkt vom Entwickler) laden, ohne das zunächst zu merken. Die Sicherheitsfirma bietet nun ein Prüfprogramm an, das testet, ob das eigene Gerät für dieses Android Installer Hijacking anfällig ist oder nicht.

Anwendung testen Geräte zwischen Android 2.3-4.3

Dazu kann man eine App aus dem Play Store laden oder die Anwendung bei Github beziehen. Mit der App aus dem Play Store können Geräte ab Android 2.3 getestet werden.

Wie funktioniert das Installer Hijacking?

Das ganze läuft so ab: Ein Nutzer wählt eine App über einen Store. Beim Anklicken des Installieren-Buttons schalten sich die Angreifer dazwischen. Die eigentlich vom Nutzer ausgewählte Android-Paketdatei (APK) wird dann nicht wie gewohnt heruntergeladen, sondern eine beliebige Anwendung des Angreifers. Als Beispiel nannte Palo Alto Networks: ein Nutzer will sich Angry Birds laden und erhält eine manipulierte Taschenlampen-App, die nur als Träger für Malware dient. Diese Anwendungen können vielerlei Schaden anrichten, zum Beispiel sensible Daten abfischen.

Die eigentliche Schwachstelle befindet sich im PackageInstaller von Android. Google hat die Lücke mit Android 4.3.x geschlossen, Geräte mit neueren Versionen haben also soweit derzeit bekannt nichts zu befürchten.