Gefälschte Minecraft Mods machen Usern das Leben schwer

Minecraft-Spieler waren unlängst 87 gefälschten Minecraft Mods im Google Play Store ausgesetzt. Die Apps können in zwei Kategorien unterschieden werden. Zum einen sind da die Werbung einblendenden Downloader, die von ESET als Android/TrojanDownloader.Agent.JL erkannt werden. Zum anderen gibt es Fake-Anwendungen, welche die User auf betrügerische Webseiten umleiten und ESET als Android/FakeApp.FG enttarnte.

Insgesamt erzielten die 87 Fake-Apps eine Reichweite von 990.000 Installationen, bevor sie am 16. und 21. März dem Play Store Sicherheitsteam gemeldet wurden.

1. Werbung anzeigender Downloader

Abbildung 1 - Werbung einblendender Downloader als Minecraft Mod im Google Play Store getarnt.

Zur ersten Kategorie gehören 14 Minecraft Mods mit etwa 80.000 Installationen. Ähnlich wie die Anfang März analysierte Android-Fake-App beinhaltet auch ein Teil der Minecraft Mods eine zusätzliche Komponente, um Out-of-App-Werbeanzeigen einzublenden.

Im jetzigen Fall fungiert die Komponente als Modul für die Installation der "Mods". Allerdings ist dieses Modul nicht Teil der eigentlichen Anwendung, sondern muss separat durch die Fake-App heruntergeladen und durch den User installiert werden.

Die Mod-Apps besitzen keine wirkliche Funktionalität. Sie blenden bloß aggressive Werbeanzeigen ein. Das kommt bei den Usern nicht sehr gut an, wie die vielen negativen Bewertungen erkennen lassen.

Abbildung 2 - Schlechte App-Bewertung bei Google Play

Wie funktionieren die Downloader-Mods?

Nach dem Starten der Fake-App werden sofort Geräteadministratorrechte eingefordert. Mit der Bestätigung wechselt der Bildschirm und ein “INSTALL MOD”-Button wird eingeblendet. Gleichzeitig informiert eine Push-Benachrichtigung den Android-Nutzer darüber, dass ein spezieller „Block Launcher“ notwendig sei, um mit der Installation fortzufahren.

Nach dem Betätigen des Buttons wird der Benutzer dazu aufgefordert, das Zusatzmodul "Block Launcher Pro" zu installieren. Damit versucht die App sich weitere Berechtigungen zu erschleichen. Der während der Installation heruntergeladene Payload wird von ESET als Android/Hiddad.DA erkannt.

Das Installieren des Zusatzmoduls führt den User allerdings in eine Sackgasse. Eingeblendet wird bloß ein statischer Minecraft-Hintergrund ohne klickbare Elemente. Die einzige und tatsächliche Funktion der App und des Moduls besteht darin, Werbung anzuzeigen und den Android-Nutzer in seinem normalen Umgang mit dem Smartphone zu stören.

Abbildung 3 - Out-of-App-Werbung, die sich auf dem Gerät des Opfers zeigt

Interessanterweise ist dieser Werbung anzeigende Downloader eine weiterentwickelte Version einer App, die ursprünglich im Februar im Google Play hochgeladen wurde. Die anfängliche Version verwendete eine ähnliche Schnittstelle und verlangte auch Geräteadministratorrechte. Allerdings hatte diese Version keine Download-Funktionalität und, im Gegensatz zum hiesigen Downloader, versorgte die erste Version die Benutzer tatsächlich mit echten Minecraft Mods.

Ein Resultat dieser allgemeinen Entwicklung ist die Tatsache, dass durch Downloader jede vorstellbare Malware zusätzlich auf das Gerät des Nutzers heruntergeladen werden kann. Das Einblenden aggressiver Werbeanzeigen ist eine vergleichsweise harmlose Angelegenheit. Tausende Android-Nutzer könnten durch einen anderen Downloader auch dazu verleitet werden, sich gefährlicheren Bedrohungen auszusetzen. Für Malware-Entwickler wird das der nächste logische Schritt sein.

Videoaufnahme von der Installation

2. Fake-Apps leiten User zu betrügerischen Webseiten

Die restlichen 73 der enttarnten Anwendungen verwenden einen alten Trick, um Benutzer zu betrügerischen Webseiten umzuleiten. Die Apps, die ESET als Android/FakeApp.FG erkennt, wurden von Januar bis März zu Google Play hinzugefügt und erreichten bis zu 910.000 Installationen, bevor ESET sie dem Play Store Sicherheitsteam meldete.

Abbildung 4 - Scam-Apps als Minecraft Mods bei Google Play getarnt

Wie funktionieren die umleitenden Fake-Apps?

Einmal gestartet, zeigen die Apps einen Bildschirm mit einem Download-Button. Mit dem Betätigen der Schaltfläche werden aber keine Mods heruntergeladen. Vielmehr öffnet sich der Browser des Android-Users mit einer Webseite, auf die umgeleitet wurde. Die Webseiten zeigen alle Arten von penetranten Inhalten - von Anzeigen zu Umfragen, kostenlosen Coupon-Angeboten, Jackpot-Gewinnen, Pornos, gefälschten Updates und gefälschten Viruswarnungen, die mit der Angst der Nutzer spielen. Die Nachrichten werden in verschiedenen Sprachen ausgegeben, basierend auf der IP-Adresse der Opfer.

Abbildung 5 - Fake-Download-Bildschirm nach dem Start

Abbildung 6 - Betrügerische Nachrichten erscheinen nach dem Klick auf den Download-Button

Abbildung 7 - Lokalisierte Scam-Einblendungen

Wie kann ich mich schützen?

Wer Mods für Minecraft herunterladen wollte, kann womöglich Opfer der obenstehenden Bedrohungen werden.

Die umleitenden Fake-Apps sind schnell zu enttarnen. Offensichtlich dienen sie nur dazu, den User auf betrügerische Seiten umzuleiten.

In unserem I. Fall haben wir festgestellt, dass auch diese Anwendungen keinen Nutzen bringen. Sie stören den normalen Gebrauch des Smartphones durch aggressive Werbeeinblendungen. Allerdings besitzt diese Bedrohung die Möglichkeit, zusätzliche Malaware herunterzuladen.  In unserem Beispiel handelt es sich dabei bloß um Werbung. Denkbar wären aber auch weitaus gefährlichere Programme. Malware-Entwickler sind sich der technischen Möglichkeiten durchaus bewusst und setzen Downloader in Fake-Apps gezielt für die Malware-Verbreitung ein.

Android-User sollten deswegen unbedingt eine verlässliche Mobile Security Lösung auf dem Smartphone installiert haben, damit Bedrohungen frühzeitig erkannt und gebannt werden können.

Im Folgenden erklären wir, wie man die Bedrohungen auf manueller Weise entfernt.

I. Fall: Werbung anzeigender Downloader

Zuerst müssen der App und der zusätzlichen heruntergeladenen Software die Geräteadministratorrechte entzogen werden. Dazu navigieren wir unter Einstellungen zu Sicherheit > Geräteadministratoren (wie in Abb. 8 zu sehen). Danach sind die Anwendungen unter Einstellungen > Anwendungsmanager ganz einfach zu entfernen.

Abbildung 8 - Downloader und Payload unter aktiven Geräteadministratoren zu finden

Abbildung 9 - Downloader und Payload im Anwendungsmanager

II. Fall: Scam-App

Die Deinstallation der Scam-App ist ein Schritt einfacher. Diese kann leicht im Anwendungsmanager entfernt werden.

Abbildung 10 - Fake-App im Anwendungsmanager

Niemand muss auf Fake-Apps hereinfallen. Wir empfehlen ausschließlich offizielle App-Märkte für den Download von Anwendungen. Besondere Vorsicht ist bei solchen Apps geboten, die zusätzliche Software herunterladen möchte.

Vor dem Beziehen einer Anwendung sollten immer auch die Bewertungen angesehen werden. Hieraus ergibt sich meistens ein gutes Bild, wie zuverlässig und vertrauenswürdig die App ist.

Stichproben

Android/TrojanDownloader.Agent.JL: 

Android/FakeApp.FG: