Das Geschäftsmodell hinter den Apps ist laut Bitdefender bemerkenswert einheitlich. “Ein wiederkehrendes Muster bei verdächtigen Early-Access-Apps besteht darin, Bargeldprämien, PayPal-Auszahlungen, Krypto-Einnahmen, Geschenkkarten, Freispiele oder einen Casino-Jackpot zu versprechen”, heißt es in dem Bericht.
Der Ablauf folgt einer immer gleichen Schleife: Nutzer installieren die App, nachdem sie eine Anzeige auf TikTok oder Facebook gesehen haben. Anfangs erhalten sie teils großzügige virtuelle Belohnungen, doch sobald sie sich der Auszahlungsschwelle nähern, verlangsamt sich der Fortschritt drastisch. “Die versprochene Auszahlung wird niemals eintreffen”, schreibt Bitdefender. Verdient wird stattdessen an immer neuen eingeblendeten Werbeanzeigen.
Besonders profitieren Casino-orientierte Anwendungen von dem Programm. Sie umgehen nach Darstellung der Forscher zahlreiche regulatorische Auflagen, an die sich legitime Glücksspiel-Apps halten müssen. Um Lizenzpflichten, Geoblocking und Altersverifikation zu entgehen, geben sich die Titel als harmlose Slot- oder Puzzlespiele aus. Die Werbung in sozialen Netzwerken führt Nutzer entweder zu den Early-Access-Einträgen im Play Store oder direkt auf Glücksspielseiten.
Die Köder beschränken sich nicht auf Spielautomaten und Belohnungs-Apps. Bitdefender fand ebenso PDF-Reader, QR-Scanner, Handy-Tracker, Werkzeug-Apps sowie Spiele, die sich an bekannten Marken anlehnen.
Die Forscher betonen den Zielkonflikt im Aufbau des Programms: “Dieselbe Funktion, die Entwickler vor unfairer Kritik schützt, nimmt Nutzern die früheste Warnung, dass einer App nicht zu trauen ist.” Und weiter: “Googles Early-Access-Programm bleibt ein wertvolles Werkzeug für Entwickler, die neue Ideen testen. Das Entfernen von Kommentaren und Bewertungen schützt seriöse Entwickler vor unfairem Review-Bombing, beseitigt aber zugleich eine der stärksten Verteidigungslinien der Community gegen betrügerische Software.”
Parallel zu diesen Erkenntnissen sind mehrere Schadsoftware-Familien für Android aufgetaucht. Group-IB beschreibt etwa, dass die Gruppe GoldFactory den Banking-Trojaner Gigabud einsetzt, um eine begleitende Android-App namens Vwork zu installieren – eine als Waffe umfunktionierte Abspaltung von Shelter. Damit lässt sich eine Ziel-App innerhalb eines Arbeitsprofils klonen, um Finanzbetrug zu begehen.
“Mit vollständiger Fernsteuerung und gegebenenfalls einer geklonten Banking-App führt der Angreifer Transaktionen direkt auf dem Telefon des Opfers aus, während ein schwarzer Bildschirm verbirgt, was geschieht”, so Group-IB. Die geklonte Umgebung diene dazu, Kontrollmechanismen zur Betrugserkennung zu umgehen.