Populäre Android-Tastatur tätigt ungewollt Käufe

Sicherheitsforscher warnen vor der Tastatur-App Ai.type. Dabei handelt es sich um ein Drittanbieter-Keyboard für Android-Geräte. Die Software tätigt demnach Käufe, ohne, dass der Nutzer etwas davon mitbekommt.

Laut der Sicherheitsplattform Secure-D des Unternehmens Upstream wurde die App über 40 Millionen Mal heruntergeladen. Und obwohl sie bereits im Juni vom Play Store entfernt wurde, ist sie den Forschern zufolge noch auf Millionen Geräten aktiv.

Die App belastet unter anderem das Prepaid-Guthaben auf Smartphones, das vor allem in Entwicklungs- und Schwellenländern oft auch als Zahlungsmittel eingesetzt wird. Der Schaden soll aktuell bei rund 18 Millionen US-Dollar liegen, wie es heißt, zum größten Teil sollen Anwender aus Ägypten und Brasilien betroffen sein.

Werbung

Für zusätzlichen Ärger sorgt die App mit unerwünschter Werbung. Bereits beim Installieren fordert sie weitreichende Berechtigungen – etwa auf SMS, Fotos, Videos, Kontakte und den internen Speicher.

Um nicht aufzufallen, tarnt Ai.type seine Aktivitäten zum Teil und gibt sich systemintern als etwas anderes aus. Konkret genannt wird hier, dass sie die App Soundcloud imitiert.

In die Tastatur ist ein SDK-Framework eingebettet, das so designt ist, Fake-Klicks auf Anzeigen zu generieren. Das Entgelt dafür kassierten dann die Entwickler. Die Konsequenz für den User ist etwa gesteigerter Akkuverbrauch, ein langsames Handy und verbrauchtes Datenvolumen.

Für Apple noch verfügbar

Wer die App installiert hat, soll sie in jedem Fall rasch von seinem Gerät entfernen. Während sie von den großen App Stores für Android mittlerweile verschwunden ist, ist sie nach wie vor an zahlreichen Stellen zu finden. Auch ist die App immer noch für Apple-Geräte via iTunes erhältlich. Ob sie auch unter iOS derart schädliches Verhalten an den Tag legt, war vorerst nicht bekannt. Aufgrund der Einschränkungen des Apple-Betriebssystems ist es aber unwahrscheinlich. Gegenüber The Next Web wollten die App-Entwickler keine Stellungnahme abgeben.

Die Macher von Ai.type hatte bereits in der Vergangenheit mit Vorfällen zu kämpfen. So wurden 2017 die Daten von 31 Millionen Usern geleakt. 2011 wurde bekannt, dass Eingabedaten von Anwender in Klartext an Firmenserver übertragen wurden.