Die israelische Sicherheitsfirma Check Point warnt vor einer Schadsoftware , die Android-Geräte befällt und Google-Konten angreift. Die Malware mit Namen Gooligan hat demnach weltweit bereits mehr als eine Million Google-Nutzerkonten gehackt.

Das Programm zielt auf Android-Smartphones und -Tablets, auf denen die Betriebssystemversionen Android 4 (Jelly Bean, KitKat) oder 5 (Lollipop) installiert sind. Die Systeme laufen nach aktuellem Stand auf ungefähr drei von vier Android-Geräten . Check Point hat eigenen Angaben zufolge Google nach Entdeckung des Schadcodes umgehend informiert.

Check Point zufolge werden seit Ende August jeden Tag weltweit mehr als 13.000 neue Android-Geräte von der Malware befallen. Das Programm verstecke sich in Dutzenden legitim anmutenden Apps, die auf alternativen Downloadplattformen angeboten werden. Damit werde der Schadcode vom Nutzer selbst auf den Geräten installiert. Außerdem versuchten die Täter, ihre Schadsoftware über falsche Links in SMS oder Messaging-Nachrichten zu verbreiten.

Betroffen sind Dienste wie Gmail, Docs und G Suite

Gooligan versucht dann, sich über mehrere bekannte Schwachstellen weitreichende Zugriffsrechte einzuräumen, schreibt Check Point weiter. So könnten Angreifer Apps, Daten und die Hardware des Geräts aus der Ferne kontrollieren.

Der Schadcode erfasst zu Google-Diensten passende E-Mail-Adressen und entsprechende Authentifizierungs-Token. Die Token, die lokal auf einem Gerät gespeichert werden, identifizieren den Nutzer und loggen ihn automatisch in einen Dienst ein. Haben Kriminelle Zugang zu den Token, kommen sie auch ohne Passwort in ein Benutzerkonto. Betroffen sind Google-Services wie Gmail, Google-Drive, Google Docs, Google Play, Google Photos und G-Suite.

Einige der kompromittierten E-Mail-Adressen gehörten laut Check Point zu Finanzdienstleistern und Unternehmen. Aber auch Bildungseinrichtungen und Regierungsbehörden sollen in einigen Ländern betroffen sein. Google selbst habe bisher allerdings keine Hinweise darauf, dass persönliche Daten von Nutzern kompromittiert wurden, heißt es in einem Blogeintrag .

Fast zehn Prozent der infizierten Geräte befinden sich dem Unternehmen zufolge in Europa, mehr als 55 Prozent in Asien. "Dieser Diebstahl von über einer Million Google-Kontodaten ist beispiellos und stellt die nächste Stufe der Cyberangriffe dar", sagt Michael Shaulov, der bei Check Point für Cloud- und Mobilsicherheit verantwortlich ist.

Positive Bewertungen als Hinterlassenschaft

Der Schadcode lädt Check Point zufolge außerdem weitere Apps aus Googles Play-Store. Diese werde dann vom Nutzer unbemerkt im Hintergrund ausgeführt. Die Sicherheitsexperten gehen davon aus, dass täglich 30.000 Apps installiert werden.

Ähnlich wie andere Schadprogramme soll Gooligan auch Daten zur Geräteidentifizierung fälschen, um eine App mehrmals herunterzuladen. Die Malware soll außerdem in Googles App-Store eine positive Bewertung der heruntergeladenen App hinterlassen.

"Wir haben zahlreiche Schritte unternommen, um unsere Nutzer zu schützen und das Android-Umfeld insgesamt zu verbessern," schreibt Adrian Ludwig, der bei Google für Android-Sicherheit zuständig ist, in dem Blogeintrag weiter. Google habe zudem betroffene Nutzer kontaktiert und die Token widerrufen. Zudem seien neue Schutzmechanismen in die Verify-Apps-Technologie eingebaut worden, heißt es weiter.

Check Point bietet ein kostenloses Online-Tool  an, mit dem Android-Nutzer prüfen können, ob sie betroffen sind. Sollte ein Konto gehackt worden sein, sei eine einwandfreie Neuinstallation des Betriebssystems nötig. Das Sicherheitsunternehmen empfiehlt, diesen Flashing genannten Vorgang von einem zertifizierten Techniker oder dem Mobilfunkprovider vornehmen zu lassen. Danach sollten sämtliche Google-Passwörter geändert werden. Zudem sollten Nutzer Googles offiziellen Play-Store nutzen und einen Virenscanner installieren.