Android und die Adware-Risiken

Ich hatte das Thema ja schon ein paar Tage auf dem Radar, komme aber erst zum Wochenende dazu, es in einen Artikel zu kleiden: Adware-Bibliotheken in Android-Apps, die eine dicke Sicherheitslücke darstellen und im dümmsten Fall das Gerät zu einem Teilnehmer eines Botnetzes machen.

App-Entwickler leben auch nicht mehr "im gelobten Land, wo Milch und Honig fließen". Vielmehr wird es schwieriger, mit bezahlten Apps noch wirklich Geld zu machen. Vor ein paar Tagen bin ich auf diesen Mashable-Artikel gestoßen, der die Situation beleuchtet (und bei Recherchen zum Blog-Beitrag habe ich noch diesen Artikel mit interessanten Erfahrungen gefunden). Im Mashable-Artikel findet sich eine Grafik mit der Information, das  71% der App-Einkünfte von kostenlosen Apps stammen (gilt zwar für die USA und den Februar 2013 unter iOS – aber bei Android kann man wohl ähnliche Zahlen annehmen).

Mit anderen Worten: Viele Entwickler erhalten Vergütungen für Gratis-Apps über irgendwelche Werbefinanzierung. Dagegen ist auch nichts einzuwenden – auch hier in meinem Blog bringen Google-Adsense-Einblendungen und Amazon.de-Bestellungen ein paar Euro ein.

Aber es gibt eine Sicherheitslücke

So weit, so gut. Um Werbung in Android-Apps einzubinden, gibt es komplette Bibliotheken. Die Sicherheitsforscher von FireEye haben nun eine dieser Bibliotheken genauer unter die Lupe genommen. Ergebnis: Die Bibliothek steckt in 1,8 % aller Apps, die mehr als eine Million mal heruntergeladen wurden – wird von ca. 200 Millionen Nutzern verwendet und stellt ein Sicherheitsrisiko dar. Hintergrund ist, dass die Bibliothek (wie auch andere Bibliotheken) ziemlich viele Zugriffsrechte bei der Installation der App anfordert und den Benutzer dann ausspionieren kann. Kriminelle haben damit die Möglichkeit, Einsicht in Dateien zu nehmen, Mikro und Kamera einzuschalten, IMEI und Kontakte abzugreifen, oder das Gerät zu kontrollieren und bei Bedarf über nachgeladenen Code in ein Botnetz zu integrieren. Bisher wurden Google und der Entwickler der Bibliothek kontaktiert – und diese sollen angeblich an Lösungen für das Problem arbeiten. Sowohl heise.de als auch Spiegel Online haben da noch ein paar Infos in ihre Artikel eingebaut. 

Gibt es ein Gegenmittel?

Unter dem Strich ist das keine wirklich beruhigende Vorstellung, wenn man eine kostenlose App aus dem Google Play Store herunterlädt und mit Werbung begrüßt wird. Und in letzter Zeit stelle ich bei Tests von Android-Apps immer häufiger fest, dass die Zugriff auf quasi alles haben wollen. Bei Apple gab es mal Ähnliches – dort konnte man mit dem IPAScanner prüfen, ob die Apps befallen waren (ich hatte hier darüber gebloggt).

Bei Android ist mir momentan nichts derartiges bekannt. Für Firmen bietet Fraunhofer wohl das hier zur App-Überprüfung. Es gibt zwar den SRT AppScanner, der aber nur zwei bekannte (und im PlayStore geschlossene) Sicherheitslücken prüft. Denkbar wäre auch, den SRT App-Guard zu installieren – wobei ich da aber keine Erfahrung habe, wie zuverlässig das ist. Hier findet sich auch noch ein Artikel, der sich mit der Thematik App-Berechtigungen befasst. In Android 4.3 gibt es App OPS – den versteckten App-Permission-Manager (siehe diesen Artikel – oder hier auf deutsch). Mit dem App Ops Starter aus dem Play Store lässt sich die Funktion abrufen – allerdings habe ich in einem Kurztest nicht wirklich erfolgreich alle Apps überprüfen können (hier gibt's noch einige kurze Infos).

Fazit: Alles nicht wirklich schön – und ich werde das Gefühl nicht los, dass sich die Industrie mit dem ganzen App-Geraffel am Ende des Tages ziemlich in's Knie schießt. Apps werden kaum dokumentiert (sehe ich momentan extrem an Windows 8-Apps) und können teilweise nur über den App-Store des OS-Herstellers (Microsoft, Apple) bezogen werden. Bezahlung muss teilweise per Kreditkarte erfolgen (wenn auch mit Gift-Cards experimentiert wird). Monopolistische Strukturen waren noch nicht gut und am Ende auch nicht erfolgreich. Oder wie seht ihr das? Und habt ihr ggf. eine Kur gegen dieses App-Berechtigungs-Problem?