Klickbetrug durch chinesisches Werbenetzwerk Mintegral in 1.200 iOS-Apps

Sicherheitsforscher haben festgestellt, dass das chinesische Werbenetzwerk Mintegral, welches in 1.200 iOS-Apps enthalten ist, ein schädliches Verhalten (Daten abziehen, Klick-Betrug durchführen) zeigt. Die Apps mit diesem Werbenetzwerk kommen auf Milliarden Installationen. Apple kann in dem verwendeten SDK jedoch kein schädliches Verhalten erkennen, hat aber Maßnahmen ergriffen, um das Datensammeln in iOS durch den Nutzer unterbinden zu lassen.

Der chinesische Anbieter Mintegral ist Anbieter von mobilen Werbeplattformen mit Niederlassungen in den Vereinigten Staaten, Europa und Asien. Mintegral hat ein SDK (Software Development Kit) entwickelt, welches in iOS-App eingebettet werden kann. Die App-Entwickler können so das Werbenetzwerk von Mintegral auf einfache Art einbinden.

Mintegral SDK für iOS mit 'Beifang'?

Wird in einem solchen SDK eine 'Sauerei' betrieben, wirkt sich dies direkt auf sehr viele Apps aus, die genau dieses SDK verwenden. Genau das scheint bei Mintegral jetzt passiert zu sein, denn Snyk gibt an, man habe ein bösartiges Verhalten in Bezug auf Werbung in den iOS-Versionen des Mintegral-SDK identifiziert. Der nachfolgende Tweet der Sicherheitsforscher von Snyk  weist auf diese Entdeckung hin.

The Snyk research team uncovered malicious behavior in an advertising SDK #SourMint used by over 1,200 apps in the AppStore. Included in our findings, it improperly accesses and logs user data and activity within those apps. Learn more here https://t.co/ihgdjgTZNY pic.twitter.com/qMsI4UB7cc

— Snyk (@snyksec) August 24, 2020

In den Android-Versionen des SDK scheint der bösartige Code nicht vorhanden zu sein. Das SDK ist in 1.200 iOS-Apps eingebunden, und das Unternehmen Snyk schätzt, dass die 1.200 betroffenen iOS-Apps jeden Monat etwa 300 Millionen Mal heruntergeladen werden.

Der bösartige Code wurde in den iOS-Versionen des Mintegral SDK vom Juli 2019 gefunden. Der bösartige Code kann Benutzeraktivitäten ausspionieren, indem er URL-basierte Anfragen der App erfasst und protokolliert. Diese Aktivität wird auf einem Server eines Drittanbieters protokolliert und könnte möglicherweise persönlich identifizierbare Informationen (PII) und andere sensible Informationen enthalten.

Angeblicher Ad-Betrug durch Code im SDK

Das Mintegral SDK unterstützt App-Entwickler und Werbetreibende beim Aufbau eines monetarisierten werbebasierten Marketings. Entwickler können sich als Publisher beim Werbenetzwerk anmelden und das SDK von der Mintegral-Website herunterladen. Sobald das SDKin der App eingebunden ist, injiziert es Code in Standard-iOS-Funktionen innerhalb der Anwendung. Der Code wird ausgeführt, sobald die App eine URL öffnet. Das umfasst sogar der App-Store-Links, die in der App aufgerufen werden.

Dadurch erhält das SDK Zugriff auf eine beträchtliche Datenmenge und sogar auf potenziell private Benutzerinformationen. Das SDK untersucht auch speziell URL-Ereignisse, um festzustellen, ob das Anzeigennetzwerk-SDK eines Wettbewerbers die Quelle der Aktivität war.

(Mintegral SDK , Quelle: Snyk)

Das Snyk-Team will nun durch eigene Forschung und in Zusammenarbeit mit Experten aus der mobilen Werbebranche herausgefunden haben, dass bösartiger Codes innerhalb des SDK potenzielle Einnahmen aus anderen Werbenetzwerken, die die Anwendung möglicherweise nutzt, stehlen und alle URL-basierten Anfragen, die aus der Anwendung heraus gestellt werden, ausspionieren kann. Darüber hinaus erzeugt der bösartige Code im Mintegral SDK in betrügerischer Weise Benutzer-Klicks (Ad-Clicks) in Anzeigen, wodurch potenzielle Einnahmen von konkurrierenden Anzeigennetzwerken und in einigen Fällen vom Entwickler/Publisher der Anwendung gestohlen werden.

Die Sicherheitsforscher schreiben, dass das Mintegral SDK auch eine Reihe von Anti-Debug-Schutzmechanismen enthält. Diese sind so gestaltet, dass sie Sicherheitsforscher davon abhalten, das wahre Verhalten hinter der App herauszufinden. Im Code gibt es eine besondere Routine, die versucht, festzustellen, ob das Gerät gerootet war und ob irgendeine Art von Debugger oder Proxy-Tools verwendet wird. Bemerkt der Code dies, ändert die Schadfunktion im SDK ihr Verhalten, um das bösartige Verhalten zu verschleiern. Dies kann auch dazu beitragen, dass das SDK Apples App-Prüfprozess unbemerkt durchlaufen konnte.

Laut Snyk entdeckten seine Forscher im iOS-SDK bis zurück zur Version 5.5.1 (veröffentlicht im Juli 2019) diesen bösartigen Code, der das beschriebene Verhalten aufweist. Der Code, an dem sie ihre Analyse durchführten, stammt aus dem offiziellen GitHub-Konto von Mintegral. Snyk hat das SDK mit dem Schadcode "SourMint" getauft.

(Quelle: YouTube)

Das obige Video zeigt  die Erkenntnisse. Details zum gesamten Vorgang sind in diesem Blog-Beitrag der Sicherheitsforscher zu finden.

Apple sieht kein Problem

Security Week schreibt hier jedoch, dass Apple in Kontakt mit den Snyk-Forschern stand, um sicherzustellen, dass es über deren Erkenntnisse vollständig informiert ist. Von Apple heißt es jedoch, dass man keine Beweise dafür gefunden habe, dass iOS-Apps, die das Mintegral SDK verwenden, den Benutzern schaden.

Auf der anderen Seite weist Apple darauf hin, dass die von Snyk entdeckten Mechanismen es ermöglichen, dass Drittanbieter-Code unbeabsichtigte Funktionen einführt. Apple gibt an, dass dieses beschriebene Verhalten häufig vorkomme. Man habe daher Schritte unternommen, um den Benutzern mehr Kontrolle über ihre Daten zu geben und sicherzustellen, dass Apps hinsichtlich der von ihnen gesammelten Daten transparent sind. Das ist aber nur in den neuesten iOS-Funktionen der Fall.