Die Android-Version der beliebten Tastatur-App ai.type hat versucht, über 14 Millionen unautorisierte Käufe abzuwickeln, welche für die Nutzer unerwünschte Kosten in einer Gesamthöhe von 18 Millionen US-Dollar bedeutet hätten, wie ein Bericht des Mobiltechnologie-Unternehmens Upstream zeigt.
Die Kaufversuche stammten von 110.000 einzelnen Geräten aus 13 verschiedenen Ländern. Der Datenverkehr war in Nordafrika und Südamerika besonders hoch, wobei die illegalen Aktivitäten im Juli dieses Jahres förmlich durch die Decke schossen und für die zwei folgenden Monate andauerten. Das passierte tatsächlich, nachdem die App im Juni aus dem Google Play-Store entfernt wurde.
Die App, welche insgesamt über 40 Millionen Mal heruntergeladen wurde, sollte die Smartphone-Tastatur mit verschiedenen Emojis und Schriftarten ausstatten. Zusätzlich enthielt sie Features, durch die sie in der Lage sein sollte, Schreibstile zu erlernen und Tippfehler automatisch zu korrigieren. Vielleicht erinnern Sie sich daran, dass die App vorletztes Jahr ebenfalls in die Schlagzeilen geriet, als herauskam, dass die Entwickler die persönlichen Daten von mehr als 31 Millionen Nutzern auf einem ungeschützten Server gespeichert hatten.
Upstream hat nun herausgefunden, dass ai.type sofort nach dem Download auf ein Smartphone beginnt, unautorisierte Kaufaufforderungen für digitale Premium-Inhalte zu senden. Mithilfe von Software Development Kits (SDK), die mit hardkodierten Links auf Werbe-Tracker verschleiert waren, meldete die App die Nutzer für Premium-Dienste an.
„Diese SDK navigieren durch eine Serie von Weiterleitungen zu den Werbeanzeigen und führen selbst Klicks aus, um die Abonnements abzuschließen“, sagt Upstream. Das alles passiert im Hintergrund, sodass die Nutzer im Dunkeln bleiben. Die App tarnt sich außerdem auch als andere beliebte Apps wie Soundcloud, um einige dieser Aktivitäten durchzuführen.
Bildquelle: Google Play
Einen Hinweis könnten die Nutzer bereits durch die lange Liste an Berechtigungen erhalten haben, welche die App verlangt, darunter eine Leseberechtigung für SMS-Nachrichten, Fotos, Videos, Kontaktdaten sowie Zugriff auf den Gerätespeicher. Selbstverständlich sollten Sie dabei stets achtsam dabei sein, welche Berechtigungen Sie Apps erteilen.
Die Nutzer der App werden dazu angehalten, ihre Smartphones auf Zeichen verdächtigen Verhaltens zu untersuchen und die schadhafte App zu entfernen. Sie sollten zudem überprüfen, ob Ihnen Dienste in Rechnung gestellt wurden, die Sie nicht gebucht haben.
Wie Threatpost feststellte, ist die App auf alternativen Android-Downloadplattformen sowie im App Store noch verfügbar, obwohl Apple sich nun wohl mit der Funktionalität der App auseinandersetzt. Forbes berichtet, dass bei Google Play eine neue Version von ai.type verfügbar ist, ohne die schädlichen Funktionen.
Der Schwindel der App erinnert manche Leser vielleicht an den Abo-Betrug von „Pingu Cleans Up“, den Forscher von ESET letztes Jahr aufdeckten. Dieser verließ sich jedoch ausschließlich auf die Unaufmerksamkeit des Nutzers.
