Sowohl im Google Play Store als auch im Samsung Galaxy Store wurden Schad-Apps entdeckt, die für Spionagezwecke genutzt werden. Brasilien ist unter anderem von dieser Bedrohung betroffen.

Die Apps Signal Plus Messenger und FlyGram stellen bösartige Varianten der bekannten Messaging-Plattformen Signal und Telegram dar und enthalten die Spyware namens BadBazaar.

Laut ESET, einem Cybersicherheitsunternehmen, das die Bedrohung erkannt hat, nutzten Apps der chinesischen Hackergruppe APT GREF den Open-Source-Charakter der Signal- und Telegram-Plattformen aus. Sie erstellten die Apps nach und integrierten absichtlich bösartigen Spionagecode.

Brasilien steht auf der Liste

Neben Brasilien sind auch folgende Länder betroffen: Dänemark, Demokratische Republik Kongo, Deutschland, Hongkong, Ungarn, Litauen, Niederlande, Polen, Portugal, Singapur, Spanien, Ukraine, USA und Jemen.

Laut Bleeping Computer war die FlyGram-App seit Juli 2020 im Google Play Store verfügbar, bevor sie im Januar 2021 entfernt wurde. In dieser Zeit wurde sie rund 5.000 Mal installiert. Zum jetzigen Zeitpunkt ist die App weiterhin im Samsung Galaxy Store verfügbar.

Im Juli 2022 wurde die Signal Plus Messenger-App in den Google- und Samsung-Stores verfügbar gemacht. Google entschied sich jedoch, sie im Mai zu entfernen. Im Galaxy Store steht die App weiterhin zum Download bereit.

Wie funktionieren bösartige Apps?

Experten erklären, dass der Zweck dieser Anwendungen darin besteht, personenbezogene Daten der Nutzer zu erhalten. Im Beispiel von FlyGram wurde die Möglichkeit gefunden, Informationen wie die Kontaktliste, den Anrufverlauf und Daten aus dem Telegram-Konto des Nutzers zu sammeln.

Als Benutzer die Datensicherungs- und -wiederherstellungsfunktion von Telegram aktivierten, konnte ein von böswilligen Akteuren kontrollierter Remote-Server Informationen über die Aktivitäten der Social-Media-Plattform abrufen.

Nach Einschätzung von ESET haben rund 13.953 FlyGram-Konten die Option zur Datensicherung und -wiederherstellung aktiviert. Die Gesamtzahl der Nutzer der kompromittierten Telegram-Version wurde jedoch nicht öffentlich bekannt gegeben.

Die bösartige Version von Signal sammelte wiederum ähnliche Informationen, ihr Hauptzweck bestand jedoch darin, die Kommunikation über die Messaging-Plattform auszuspionieren. Dazu gehörte auch das Extrahieren der PIN-Codes, die zum Schutz der Signal-Konten verwendet wurden.