Der Google Play Store blockiert Apps, nachdem ein Datendiebstahlcode gefunden wurde

Google ist kürzlich gestartet Mehr als ein Dutzend Apps aus dem Play Store – darunter muslimische Gebets-Apps mit mehr als 10 Millionen Downloads, ein Barcode-Scanner und eine Uhr – nachdem Forscher einen darin versteckten Geheimcode zum Sammeln von Daten entdeckt hatten. Immer noch seltsam, der Geheimcode wurde von einem Unternehmen entworfen, das mit einem Verteidigungsunternehmen aus Virginia verbunden ist, das Entwickler dafür bezahlt hat, seinen Code in ihre Apps zu integrieren, um Benutzerdaten zu stehlen.

Während der Durchführung der Forschung kamen die Forscher auf einen Code, der in mehrere Apps implantiert wurde und dazu diente, persönliche Kennungen und andere Daten von Geräten zu stehlen. Ein Forscher sagte, dass der Code oder das Software Development Kit oder SDK „zweifellos als Malware qualifiziert werden kann“.

Zum größten Teil schienen die fraglichen Apps sich wiederholende Kernfunktionen anzubieten – die Art, die eine Person herunterladen und dann sofort vergessen könnte. Nach der Implantation in das Telefon eines Benutzers sammelte die Software mit dem SDK jedoch wichtige Datenpunkte über das Gerät und seine Benutzer, wie Telefonnummern und E-Mail-Adressen, enthüllten die Forscher.

Die Das Wall Street Journal Ich habe ursprünglich erwähnt, dass der eindringende außerirdische Code von zwei Forschern entdeckt wurdes, Serge Egelman und Joel Reardon, die beide eine Organisation namens AppCensus mitbegründet haben, die mobile Apps auf Datenschutz und Sicherheit der Benutzer prüft. bei Blogeintrag Basierend auf ihren Ergebnissen schrieb Reardon, dass AppCensus Google im Oktober 2021 zunächst wegen ihrer Ergebnisse kontaktiert habe. Laut Journal-Berichten wurden die Apps jedoch erst am 25. März aus dem Play Store entfernt, nachdem Google dies untersucht hatte. Google gab daraufhin eine Erklärung ab: „Alle Apps bei Google Play müssen unsere Richtlinien einhalten, unabhängig vom Entwickler. Wenn wir feststellen, dass eine App gegen diese Richtlinien verstößt, ergreifen wir entsprechende Maßnahmen.“

Eine der Anwendungen war ein Barcode- und QR-Code-Scanner, der, wenn er heruntergeladen wurde, vom SDK angewiesen wurde, die Telefonnummer, E-Mail-Adresse, IMEI-Informationen, GPS-Daten und Router-SSID des Benutzers zu erfassen. Die andere war eine Suite muslimischer Gebets-Apps, darunter der Muezzin und der Qibla-Kompass, die fast 10 Millionen Mal heruntergeladen wurden und auf ähnliche Weise Telefonnummern, Router-Informationen und IMEI stahlen. Ein Wetter- und Uhr-Widget mit mehr als 1 Million Downloads saugt eine ähnliche Datenmenge auf einen Codebefehl. Insgesamt haben die Apps, die teilweise auch Nutzer orten können, mehr als 60 Millionen Downloads erreicht.

„Die Datenbank, die die tatsächliche E-Mail-Adresse und Telefonnummer einer Person anhand ihres genauen GPS-Standortverlaufs identifiziert, ist besonders einschüchternd, da sie leicht zum Ausführen eines Dienstes zum Nachschlagen des Standortverlaufs einer Person verwendet werden kann, sobald ihre Telefonnummer oder E-Mail-Adresse bekannt ist kann verwendet werden, um Journalisten, Dissidenten oder politische Rivalen anzugreifen“, schreibt Reardon seinen Blog teilen.

Wer steckt also hinter all dem? Laut den Forschern heißt ein in Panama registriertes Unternehmen Measurement Systems. In ihrem Bericht schrieben die Forscher, dass Measurement Systems tatsächlich von einem Unternehmen namens Vostrom Holdings registriert wurde – einem in Virginia ansässigen Unternehmen mit Verbindungen zur nationalen Verteidigungsindustrie. Vostrom schließt Verträge mit der Bundesregierung über eine Tochtergesellschaft namens Packet Forensics ab, die sich offenbar auf Cyber-Intelligence und Netzwerkverteidigung für Bundesbehörden spezialisiert hat, berichtet das Journal.

App-Entwickler, die mit der Zeitung sprachen, behaupteten, dass Verwaltungssysteme sie dafür bezahlten, das SDK in ihre Apps zu implementieren, was es dem Unternehmen ermöglichte, „heimlich Daten“ von Gerätebenutzern zu sammeln. Andere Entwickler gaben an, dass das Unternehmen sie gebeten habe, Geheimhaltungsvereinbarungen zu unterzeichnen. Dokumente, die das Magazin eingesehen hatte, enthüllten offenbar, dass das Unternehmen hauptsächlich Daten von Benutzern wollte, die im „Nahen Osten, Mittel- und Osteuropa und Asien“ leben.

Die Verteidigungsindustrie hat eine lange Problem Beziehung Mit der Datenvermittlungsbranche – etwas, auf das Datenforscher auf Twitter schnell hingewiesen haben, nachdem die Magazingeschichte schief gelaufen war:

Eine vollständige Liste der Apps, die den gefürchteten SDK-Code enthalten, finden Sie unter Reardon Schreiben auf der AppCensus-Website.