Offensichtlich haben die Sicherheitsmechanismen des App-Stores Google Play versagt und eine als WhatsApp-Messenger getarnte Fake-App durchgelassen. Den Zahlenangaben des App Stores zufolge haben sich mehr als eine Million Android-Nutzer die Fake-App heruntergeladen. Mittlerweile hat Google sie offline genommen, berichten mehrere Opfer auf Reddit.

Besser aufpassen, Google!

Beim Namen der Fake-App "Update WhatsApp Messenger" hätte man eigentlich aufhorchen müssen – insgesamt war der Fake aber optisch gut gemacht: Neben dem Logo stimmte mit "WhatsApp Inc." auch der Name des Entwicklers. Um die Fake-App mit dieser Bezeichnung erfolgreich in den App Store zu bringen, haben die Betrüger lediglich ein Unicode Leerzeichen an den Entwicklernamen gehängt. Beim Scrollen im App Store fällt so was nicht auf – Google hätte hier aber schalten müssen. In Codeform sieht das nämlich so aus: WhatsApp+Inc%C2%A0.

Beim Update WhatsApp Messenger handelt es sich ersten Analysen zufolge um eine Werbe-Spam-App, die Opfer zur Installation von weiteren Apps führen soll. Die Betrüger bekommen dann von anderen App-Anbietern Provisionen, wenn ein Opfer darauf reinfällt.

Viel Wildwuchs in Google Play

Leider tauchen regelmäßig Fake-Apps in Google Play auf und Betrüger versuchen auf Trendwellen mitzuschwimmen, um so Malware zu verbreiten. Gibt man in Google Play etwa den Namen des erfolgreichen Free-to-Play-Titels "Clash Royale" ein, tauchen Dutzende Fake-Apps auf. Im Zuge der "Analysiert:"-Reihe hat heise Security das Exemplar "Gems Chest for Clash Royale" seziert. Auch im Fahrwasser von Pokémon-Go witterten Betrüger Profit.

Es geht aber noch schlimmer und es gibt diverse Fälle, in denen sich sogar waschechte Trojaner in Google Play geschlichen haben, die diversen Sicherheitsforschern zufolge komplette Android-Geräte in die Gewalt von Angreifern bringen können.

Wer in Google Play auf der Suche nach Apps ist, sollte beim kleinsten Zweifeln an der Legitimität einer App die Bewertungen lesen. Dort finden sich zwar oft auch Fake-Bewertungen, in der Regel überwiegen aber negative Kommentare von Nutzern, wenn es sich um eine betrügerische App handelt. In so einem Fall sollte man die Finger vom Download-Button lassen. (des)