IzzyOnDroid

• Intro
• App-Listen
• Artikel
• Bücher
• Downloads
• App-Repo
• Impressum

Wieviel Verlass ist auf Malware Scans für Android Apps?

Viele Menschen und Dienste greifen für die Überprüfung von Apps auf den Service von VirusTotal zurück. Dieser hat die Scanner von über 60 Security Vendors eingebunden – was unter anderem auch das Erkennen so genannter „false positives“ ermöglicht: Schlägt ein Scanner an, alle anderen aber nicht, ist dies üblicherweise ein Hinweis auf einen Fehlalarm. Was auch VirusTotal so sieht, wie das kleine grüne Häkchen über dem Ergebnis im Screenshot belegt.

Natürlich bedeuten grüne Häkchen auch bei den jeweiligen Engines lediglich, dass nichts erkannt wurde. Sie sind keine Garantie, dass eine Datei harmlos ist.

In der Regel funktioniert das recht gut. Was aber, wenn plötzlich mehrere Scanner eine APK als böswillig (malicious/PUA¹/Trojan) bezeichnen? Ist da dann etwas dran?

Bei IzzyOnDroid ist uns aufgefallen, dass dies besonders häufig bei SMS Apps passiert – insbesondere, wenn selbige auch über die INTERNET Berechtigung verfügen (z. B. für SMS Weiterleitung). Diese sind dann recht schnell als „Banking Trojaner“ markiert, sie könnten ja entsprechende Bank-SMS abgreifen². Da die Apps quelloffen sind³, lässt sich zumindest nachvollziehen, ob der Quellcode Hinweise auf ein solches Verhalten enthält. Noch stärker wäre dieser Nachweis bei reproduzierbaren Builds, da die konkrete APK dann dem geprüften Quellcode eindeutig zugeordnet werden kann⁴.

Eine App ist nur sauber, wenn sie im PlayStore ist

In einem Fall⁵ sind wir der Sache daher auf den Grund gegangen. Der Entwickler der App hat alle betroffenen Anbieter kontaktiert, ihnen ausführliche Details gegeben, und um Korrektur gebeten. Während einige wenig später die Korrektur bestätigten, weigerte sich zumindest einer hartnäckig – mit einer interessanten Begründung:

as per our internal protocol, we are unable to proceed with the whitelisting process unless the application is available on the Google Play Store.

Zu gut Deutsch:

gemäß unseres internen Protokolls, können wir mit dem Whitelisting nicht fortfahren, solange die App nicht im Google Play Store gelistet ist.

Und das, obwohl die Tatsachen eine andere Sprache sprechen: Während mir für F-Droid und IzzyOnDroid kein belastbar dokumentierter Fall bekannt ist, der mit den immer wieder auftauchenden Malware-Funden im Play Store vergleichbar wäre⁶, findet man über den Play Store immer wieder Artikel über hunderte Apps, die dort gelöscht werden mussten, weil sie Millionen von Geräten infiziert hatten⁷. Da verwundert eine solche Aussage besonders.

Ist da was dran? Wir machen einen POC

Neugierig geworden, wollte ich einmal schauen: Was macht eine solche APK-Datei zur Malware? Für die genannte App habe ich das also einmal ausprobieren wollen:

• der Scan der originalen APK Datei brachte 7 Treffer
• die Datei in test17.zip umbenannt, und aus dem Archiv AndroidManifest.xml, META-INF/, sowie kotlin-tooling-metadata.json entfernt⁸: 0 Treffer
• analog, aber dieses Mal das AndroidManifest.xml im ZIP belassen: die ursprünglichen 7 Treffer sind zurück
• nochmals, diesmal aber nur das AndroidManifest.xml aus der ZIP Datei entfernt: 0 Treffer

Ist also nur das AndroidManifest.xml „böse“? Probe auf’s Exempel: eine ZIP Datei erstellt, die ausschließlich das AndroidManifest.xml enthält: 2 Treffer – einschließlich des Anbieters, der auf einem Google Play Listing bestand. Diese Datei enthält übrigens nur die Metadaten der App (wie die App heißt, um welche Version es sich handelt, welche Berechtigungen sie benötigt, und Ähnliches); für sich allein, kann sie keinerlei Schaden anrichten.

Einige Scanner scheinen also stark bzw. nahezu ausschließlich auf Metadaten und Berechtigungen zu reagieren, und weniger/nicht auf tatsächlich schädlichen Code.

Nachdem wir mit einem Fediverse Post⁹, der zahlreiche Boosts und Likes bekam, der Sache etwas Aufmerksamkeit verschafft hatten, wurden plötzlich sämtliche Lämpchen grün: kein einziger Treffer mehr. Dass die App nach wie vor nicht im Google Play Store gelistet ist (und wahrscheinlich auch nie sein wird), spielte plötzlich keine Rolle mehr.

Also alles Quatsch – oder was?

Aus einem einzigen Beispiel, sollte man nicht all zu viel ableiten. Wir haben den obigen POC¹⁰ für eine weitere SMS App nachstellen wollen: Die Unterschiede waren dabei weniger dramatisch. Dennoch kann von diesem Fall mehreres gelernt werden:

• den Scan-Ergebnissen kann man nicht blind vertrauen. Sie sind Indikatoren, dass man genauer hinschauen sollte – jedoch keine verbindlichen Fakten
• einige Anbieter scheinen ihre Ergebnisse auf einer recht fragwürdigen Basis zu ermitteln (hier: K7GW); solange nur deren Scanner anschlagen, ist eher nicht mit einem tatsächlichen Befall zu rechnen
• der Fall zeigt außerdem, wie problematisch es wird, wenn ein Play-Store-Listing faktisch als Vertrauensanker behandelt wird. Dann geraten freie App-Quellen wie F-Droid oder IzzyOnDroid schnell in eine schlechtere Ausgangsposition, obwohl ein Play-Store-Eintrag für sich genommen keine Sicherheitsgarantie ist¹¹.

Als kurzes Fazit wäre daher festzuhalten: Scanner liefern Hinweise, aber keine endgültige Bewertung.