Das Antiviren-Unternehmen Avast  warnt vor einem hinterhältigen Schadprogramm. Unter dem Titel "Dubsmash 2" hatten Cyberkriminelle eine App in Googles Play Store eingeschmuggelt, die nach außen hin vortäuschte, eine neue Version einer populären App namens "Dubsmash" zu sein. Tatsächlich aber war der Titel nur ein Lockmittel, mit dem Android-Nutzer geködert, zum Download verleitet werden sollten.

Die echte "Dubsmash"-App  hat viele Millionen Nutzer. Mit ihr kann man kurze selbstgedrehte Videoszenen mit bestimmten Sounds unterlegen, diese verfremden und die so gebastelten Kurzvideos im Netz weitergeben. Nichts von all dem kann "Dubsmash 2". Ganz klar: Die Entwickler der Malware haben sich einfach eine App gesucht, deren Popularität sie ausnutzen können, um ihre Schadsoftware an möglichst viele potentielle Opfer zu verteilen.

Der Plan ist aufgegangen. Laut Avast verzeichnete der Play Store zwischen 100.000 und 500.000 Downloads von "Dubsmash 2". Damit ist es mittlerweile aber vorbei. Nachdem Avast Google darauf aufmerksam gemacht hatte, entfernte der Konzern die Schad-App sofort aus einem Angebot.

Tarnung als Settings-App

Entwarnung kann man deshalb trotzdem nicht geben. Auf den Handys derer, die sich die getarnte App arglos heruntergeladen haben, dürfte sie zumeist noch ihr Unwesen treiben - oder auf eine Gelegenheit warten, damit zu beginnen.

Denn auch da ist die Schadsoftware ausgesprochen hinterhältig. Einmal auf dem Smartphone angekommen, benennt sie sich in "Settings IS" um und gibt sich ein Icon, das dem der Settings-App von Android sehr ähnlich sieht. Wer dieses Icon antippt, wird zur Download-Seite der echten "Dubsmash"-App umgeleitet - und aktiviert nebenbei den Schädling. Zusätzlich überprüft die Malware im Hintergrund, ob das Handy mit dem Internet verbunden ist und schaltet sich selbst scharf, sobald sie eine solche Verbindung findet.

Maschinell erzeugte Klicks für Geld

Einen für den Anwender direkt spürbaren Schaden richtet die App aber auch dann nicht an. Vielmehr lädt sie zunächst eine Liste mit Links zu verschiedenen Porno-Websites herunter, die sie daraufhin heimlich aufruft und an verschiedenen Stellen auf die Seite klickt.

Im Avast-Blog heißt es dazu: "Für jeden Klick auf eine Anzeige auf einer Pornoseite erhielt der Malware-Autor wahrscheinlich Geld." Höchstwahrscheinlich stamme die Malware aus der Türkei. Darauf würde neben verschiedenen kontaktieren URLs auch der Name hindeuten, mit dem der Entwickler bei Google Play registriert war.

Ein echter Schaden ist demnach in erster Linie Anzeigenkunden entstanden, die Werbung auf Pornoseiten gebucht und auf Klicks von realen Menschen gehofft haben.

Einfach zu löschen, schwer zu verstehen

Wer "Dubsmash 2" auf seinem Handy installiert hat, sollte die Software trotzdem entfernen. Aus genannten Gründen muss man dafür allerdings nicht nach dem ursprünglichen Titel der App suchen, sondern nach deren Tarnnamen "Settings IS". Gelöscht werden kann die App, indem man in den Einstellungen den Anwendungsmanager aufruft und dort Settings IS zur Deinstallation auswählt.