Manche Apps machen hinter dem Rücken ihres Anwenders Dinge, auf die der nicht gefasst ist. Besonders dreist geht ein chinesisches SDK zu Werke, das SMS-Nachrichten nach Hause weiterleitet.

Wenn App-Entwickler versuchen Umsatz zu generieren, setzen sie oft auf Werbe-Einblendungen und In-App-Käufe. Mehrere Hersteller haben sich darauf spezialisiert, genau hierfür Entwicklertoolkits und Programme anzubieten, die es Programmierern erleichtern, derartige Funktionen in ihre Apps einzubauen. Der chinesische Anbieter Taomike ist einer der größten Provider solcher SDKs. Vor allem in China verwenden zahlreiche Android-Apps das Taomike-SDK http://1. Insgesamt sind es mehr als 63000.

Verborgene Weiche

Palo Alto Networks fand nun heraus, dass über 18000 dieser Apps ein- und ausgehende SMS-Nachrichten unbemerkt an Server des SDK-Herstellers Taomike weiterleiten. Dieses Ergebnis basiert auf einer Analyse, die auf das Cloud-basierten Sicherheitsprogramms Widfire setzte. Bei den betroffenen Apps handelt sich aber nicht um solche, die Google im offiziellen Play Store vertreibt, sie sind nur über Drittanbieter verfügbar und hauptsächlich in China erhältlich.

Verantwortlich für das Problem ist die »zdtpay« -Bibliothek des SDK. Sie enthält Codeteile, die komplette SMS-Nachrichten an einen bestimmten Taomike-Server weiterleiten. Aufgrund der Verbreitung der Apps sind aktuell nur Android-Nutzer in China betroffen. Google schiebt diesem SMS-Datendiebstahl aber einen Riegel vor. So ist es ab Android 4.4 nur den als SMS-Standard definierten Apps möglich, vollen Zugriff auf Nachrichten zu erhalten. Ältere Systeme gewähren keinen solchen Schutz.

Technisch wird der Zugriff durch einen Eintrag in der Manifestdatei der Android-Applikation möglich. Hier finden sich für die App ein »android.provider.Telephony.SMS_RECEIVED« – und ein »android.intent.action.BOOT_COMPLETED« -Eintrag. Für »SMS_RECEIVED« registriert sich dabei der Rf2b-Dienst, der SMS-Nachrichten liest, sobald sie eingehen, wobei er Nachrichtentext und Telefonnummer abfängt. Diese SMS-Informationen gelangen dann in eine Hashmap, von wo aus sie das Handy auf die URL http://112.126.69.51/2c.php hochlädt. Die IP-Adresse gehört zu den Taomike-Diensten.

Den Schadcode schleuste ein Update in die betroffenen Apps ein, das im August 2015 aufgespielt wurde, sodass ältere Versionen des Programms höchstwahrscheinlich sicher sind. Insgesamt stellt das SDK Verbindungen zu zahlreichen Diensten her:

http://112.126.69.51/2c.php
http://112.126.69.51/imei_mobile.php
http://112.126.69.51/install_report.php
http://112.126.69.51/error.php
http://112.126.69.51/rixian.php
http://112.126.69.51/order_mo.php
http://112.126.69.51/order.php
http://112.126.69.51/order_status.php
http://112.126.69.51/tdstatus.php

Allerdings wird nur die »2c.php« -URL zum eigentlichen SMS-Upload verwendet. Die anderen URLs dienen der eigentlichen Funktionalität des SDK.

Laut Palo Alto Networks ist nicht klar, was der Hersteller mit den gesammelten SMS macht. Es ist für Konzerne aber immer interessant, Daten über eine große Zahl mobiler Anwender zu sammeln. Da diese Informationen hier zusammen mit der Handynummer anfallen, wären sie für Werbezwecke gezielt nutzbar.

Grundsätzlich ließe sich sagen, dass man besser keine Anwendungen außerhalb des Google Play Store verwenden sollte. Taomike ist aber ein sehr großer und in China sehr bekannter Hersteller.