Die Forscher von AV-Comparatives haben 250 beliebte Sicherheitsanwendungen aus dem offiziellen Katalog von Google Play untersucht und kamen zu enttäuschenden Ergebnissen: Fast zwei Drittel der Android-Virenschutzprogramme erfüllen die in ihren Werbeversprechen genannten Funktionen nicht. Schlimmer noch: Solche Anwendungen bezeichnen sich mitunter selbst als Malware, „erkennen“ keine echten Bedrohungen und tun in Wirklichkeit nichts Nützliches.
Die Tests wurden auf sehr einfache Weise durchgeführt: Die Experten installierten Virenschutzprogramme auf getrennten Geräten, auf denen der Browser automatisch schädliche Anwendungen öffnete und herunterlud. Dies geschah 2.000 Mal mit jeder Anwendung, wobei 2.000 verschiedene Abbilder der „beliebten“ Malware verwendet wurden, die im vergangenen Jahr entdeckt wurde. In diesem Fall bedeutet das Wort „erkannt“, dass die Antivirenlösungen von dieser Malware hätten wissen müssen. Leider stellte sich in der Realität alles völlig anders heraus.
Nur 80 der 250 untersuchten Anwendungen waren in der Lage, mindestens 30 % der Bedrohungen ohne Fehlalarme zu erkennen. Mit anderen Worten: Die übrigen 170 Anwendungen „haben den Test überflutet“. Ich muss sagen, dass nur 23 der 250 Anwendungen 100 % der Bedrohungen erkannten, im Wesentlichen Lösungen renommierter Hersteller von Antivirensoftware, darunter Avast, Bitdefender, ESET, F-Secure, G-Data, Kaspersky Lab, McAfee, Sophos, Symantec, Tencent, Trend Micro und Trustwave.
Die Forscher schreiben, dass viele Virenschutzprogramme die vom Nutzer heruntergeladenen und installierten Anwendungen überhaupt nicht analysieren, sondern lediglich Whitelists und Blacklists prüfen und dabei nur die Paketnamen, nicht deren Code, kontrollieren. Folglich werden viele Anwendungen standardmäßig als schädlich eingestuft, einfach weil sie nicht in der entsprechenden Liste stehen. Aus diesem Grund kommt es mitunter zu kuriosen Situationen: So können solche „Antivirenprogramme“ als schädlich gelten, selbst wenn ihre Entwickler vergessen haben, den Namen des eigenen Produkts in die Whitelist aufzunehmen. Andere Lösungen wiederum betrachten Anwendungen, deren Name mit „com.adobe.*“ beginnt, als unbedenklich. Mit anderen Worten: Jede Schadsoftware, deren Paketname com.adobe lautet, umgeht die Einschränkungen.
Die Experten von AV-Comparatives schreiben, dass es alarmierend ist, dass viele dieser Antivirenanwendungen nicht von Spezialisten für Informationssicherheit entwickelt wurden: Sie wurden von Amateuren oder von Unternehmen erstellt, deren Haupttätigkeit weit von der Informationssicherheit entfernt ist (zum Beispiel Spieleentwickler). „Die letzte Kategorie bilden Entwickler, die Anwendungen aller Art zu Monetarisierungs- und Werbezwecken erstellen oder eine Sicherheitslösung für Android in ihrem Portfolio haben möchten“, erklären die Experten.
Schlimmer noch: Viele dieser Schutzlösungen scheinen aus denselben „Fließbändern“ zu stammen. Dutzende Anwendungen haben eine nahezu identische Benutzeroberfläche, und ihre Urheber sind offensichtlich eher an der Verbreitung von Werbung interessiert als am Schreiben eines funktionierenden Malware-Scanners.
Es ist unwahrscheinlich, dass die Ergebnisse der Studie von AV-Comparatives diejenigen überraschen, die die Lage im Bereich der Antivirenlösungen für Android beobachten. So entdeckten die Spezialisten von ESET im vergangenen Frühjahr 35 Werbe-Anwendungen im Google Play Store, die ebenfalls als Antivirenprogramme getarnt und mehr als 7.000.000 Mal heruntergeladen worden waren. Die Analysten von ESET bezeichneten solche „Nullnummern“ als Malware, die lediglich die Arbeit dieser Schutzsoftware nachahmt.
