Windows Store App spülte Adware auf Windows 10-PCs

Windows 10 ist sicher, Apps aus dem Store sind noch sicherer und ich bin ein Aluhut-Träger – richtig? Richtig! Ich meine, das mit dem Aluhut-Träger – dass die Apps aus dem Store sicher sind, ist eine andere Geschichte. Und wenn nicht mein Schwein pfeift, wurde jetzt die erste Windows Store App entdeckt, die Adware auf Windows 10-Systeme schleust.

Normalerweise hätte ich ja gesagt: Mit Apps aus dem Windows Store kann nix passieren – schließlich steckt ja so ein seriöses Unternehmen wie Microsoft hinter dem Store. Und die überprüfen schließlich die Apps auf Herz und Nieren. Na gut, die Nieren und das Herz hat man schon mal übersehen – kann passieren – da habe ich halt Apps, die mir aufgefallen sind, an Microsoft gemeldet und Stunden später waren die weg – aus dem Store.

Aber die nächste Sicherheitsstufe zündet ja: Metro-Apps oder wie die Dinger heißen, laufen ja in einer Sandbox, da kann nix passieren. Dumm nur, dann die App nicht so im luftleeren Raum agiert, sondern ggf. andere Apps aufrufen, Dateien speichern und ggf. weitere Sachen machen können muss.

Sicher ist sicher – oder doch nicht? Adware im Beipack

MVP-Kollege Ed Bott hat jetzt eine kuriose Entdeckung gemacht: Er hat einen BitTorrent Client Torrenty (ist im Store nicht mehr verfügbar) aus dem Windows Store heruntergeladen und vor Monaten auf einem System ausprobiert. Als er nun die App erneut auf einem Windows 10-System installierte, staunte er nicht schlecht.

(Quelle: ZDNet.com)

In der App erschien eine Schaltfläche mit dem Hinweis auf ein anstehendes Update. Hat er natürlich angeklickt, worauf sich eine Webseite im Edge-Browser öffnete und eine Setup.exe downloaden wollte. Der Smartscreen-Filter in Edge ließ sowohl den Download zu und gab die Schaltfläche zum Ausführen der Setup.exe frei. Selbst der Chrome-Browser hatte an der Webseite und dem Download nichts zu bemängeln und lud die .exe-Datei in den Ordner Downloads. Nur im Firefox-Browser gab es plötzlich den ersten Alarm:

(Quelle: ZDNet.com)

Der Browser verwendete die Webseite ezsoftdownloads dot com zum Download und blockierte die Setup.exe als unerwünschte Software. Eine Überprüfung der Setup.exe durch VirusTotal ergab, dass 24 von 56 Antivirus Scannern die Setup.exe als potentiell unerwünschte Software einstuften. Und Google listet die Website als potentiell gefährlich.

Eine Analyse ergab, dass die Setup.exe den freien BitTorrent-Client BitLord, gebündelt mit Adware beinhaltete. Diese versuchte ein Cross-Platform (OS X und Windows) Browser Add-In zu installieren, welches Popups einblendet und Werbung anzeigt. Aber theoretisch hätte ein Trojaner, ein Verschlüsselungstrojaner oder ein anderer Schädling dahinter stecken können.

Halten wir also fest: Im hoch gelobten Windows Store kann man sich Apps angeln, die es irgendwie schaffen, Adware im Beipack auf das Windows 10-System zu schmuggeln.

Werbeanzeige trickst den Nutzer aus

Ed hat dann die Geschichte noch etwas weiter aufgedröselt. Offenbar hat die App in obigem Screenshot eine geschickt gemachte Werbeanzeige platziert, die die Schaltfläche mit dem angeblich anstehenden Update anzeigt. Klickt der Nutzer auf diese Schaltfläche, um das vermeintliche App-Update herunterzuladen, wird eine Webseite im Browser aufgerufen. Und dann sind quasi alle Schleusen geöffnet: Denn im Browser kann ich beliebige Dateien herunterladen und dann ausführen.

Problem ist also nicht die App an sich, die (bisher) sicher in einer Sandbox läuft. Aber es lassen sich Webseiten in Apps anzeigen und der Browser aufrufen. Und es können Apps mit Werbung in den Store eingestellt werden. Ist ein Ad-Netzwerk kompromittiert, lassen sich auf diesem Wege, über den Aufruf eines Browser, Schadprogramme auf die Nutzersysteme spülen. Und der Umstand, dass es bei Apps keinen GUI-Standard gibt – selbst Microsoft Mannen in der Software-Entwicklung schnitzen sich täglich ein neues Essstäbchen und schieben damit die GUI-Elemente an neue Positionen, um das Ergebnis als "Update" auszurollen – trägt auch nicht dazu bei, dass der gemeine Anwender da misstrauisch wird. Weitere Details könnt ihr im englischsprachigen ZDNet-Artikel nachlesen.