Täuschende Android-Apps missbrauchen Google Play Early Access, um Nutzerwarnungen zu verbergen

Tausende täuschende Android-Anwendungen missbrauchen das Early-Access-Programm von Google Play, um Installationen zu erzielen, ohne Nutzer öffentlichen Rezensionen oder Sternebewertungen auszusetzen. Die am 10. September 2026 gemeldete Kampagne setzt auf irreführende Werbung in sozialen Medien, fingierte Belohnungen und in einigen Fällen auf KI-generierte Empfehlungen durch Prominente.

Forscher von Bitdefender stellten fest, dass sich die Anwendungen eher wie Werbefallen als wie herkömmliche Malware verhalten. Sie versprechen Bargeld, PayPal-Auszahlungen, Kryptowährungen, Geschenkkarten, Casinogewinne oder Premium-Inhalte, halten Nutzer aber dazu an, Werbung anzusehen, statt die beworbenen Vorteile bereitzustellen.

Das Ausmaß ist erheblich. Einige Einträge verzeichnen Tausende Installationen, während ein Nachahmer von Grand Theft Auto Berichten zufolge mehr als eine Million Downloads erreichte, bevor er aus Google Play verschwand.

Early Access blendet ein wichtiges Vertrauenssignal aus

Google Play Early Access ist für noch nicht veröffentlichte Anwendungen gedacht, die Entwickler vor dem vollständigen Start von Nutzern testen lassen möchten. Tester können Feedback direkt an die Entwickler senden, aber keine Rezensionen, Bewertungen oder Warnungen veröffentlichen, wie sie bei normalen Einträgen im Marktplatz verfügbar sind.

Täuschende Entwickler machen sich diese Einschränkung zunutze.

Eine betrügerische oder irreführende Anwendung kann Installationen sammeln, ohne die negative Rückmeldung anzuzeigen, die potenzielle Nutzer normalerweise warnen würde. Dass keine Rezensionen vorhanden sind, bedeutet nicht, dass niemand Probleme hatte. Bei Early Access ist dies eine Folge des Programmdesigns.

Bitdefender identifizierte zahlreiche verdächtige Einträge in verschiedenen Kategorien, darunter Casinospiele, Anwendungen mit Geldprämien, Gelegenheitsspiele, PDF-Reader, QR-Code-Scanner, Telefon-Tracker und allgemeine Dienstprogramme. Einige verwenden bekannte Marken oder ahmen etablierte kommerzielle Spiele nach.

Die Methode erschwert auch eine grundlegende Prüfung durch Verbraucher. Wer einer Anzeige zu Google Play folgt, sieht möglicherweise eine scheinbar offizielle Marktplatzseite, kann sich vor der Installation jedoch nicht über die Erfahrungen anderer Nutzer informieren.

Es wurden keine bestimmten Android-Betriebssystemversionen als betroffen identifiziert. Es handelt sich nicht um eine an eine bestimmte Version gebundene Android-Code-Schwachstelle, sondern um den Missbrauch einer Vertriebsfunktion von Google Play. Für die gemeldete Aktivität gibt es keinen Eintrag in Form einer CVE, eines CVSS-Scores oder eines CISA-Eintrags zu den Known Exploited Vulnerabilities.

Social-Media-Anzeigen treiben einen Kreislauf aus Werbung und Einnahmen an

Die Kampagnen beginnen außerhalb von Google Play. Betreiber kaufen oder verbreiten Anzeigen auf TikTok, Facebook und anderen sozialen Netzwerken. Darin versprechen sie mühelose finanzielle Gewinne und leiten Nutzer zu Early-Access-Einträgen weiter.

Zu den häufigsten Angeboten gehören PayPal-Auszahlungen, Einnahmen in Kryptowährung, Geschenkkarten, kostenlose Casinodrehs und Jackpots. Einige Werbeaktionen zeigen synthetische Videos von Sportlern, Schauspielern oder anderen Personen des öffentlichen Lebens. Diese Deepfakes erwecken den Eindruck einer Empfehlung, die der betreffende Prominente nie ausgesprochen hat.

Andere Anzeigen zeigen vermeintlich gewöhnliche Nutzer, die behaupten, Geld verdient zu haben. Die zugrunde liegende Überzeugungstechnik ist dieselbe: Die Anwendung wird als müheloser Weg zu einer greifbaren Belohnung dargestellt.

Nach der Installation kann die App in der Anfangsphase großzügige Mengen an virtueller Währung gutschreiben. Nähert sich das angezeigte Guthaben der Mindestauszahlung, verlangsamt sich der Fortschritt jedoch drastisch, neue Bedingungen tauchen auf oder die Auszahlungsfunktion schlägt fehl.

Während des gesamten Vorgangs wird weiterhin Werbung eingeblendet. Jede zusätzliche Sitzung, jeder Bildschirmwechsel und jeder Versuch, eine Belohnung abzurufen, schafft weitere Möglichkeiten, Anzeigen zu zeigen und Einnahmen für den Betreiber zu generieren.

Das monetarisierte Gut ist die Aufmerksamkeit der Nutzer. Eine bestätigte Auszahlung gibt es nicht.

Soziale Plattformen können einzelne Werbeaktionen entfernen, doch die Infrastruktur lässt sich leicht neu aufsetzen. Entwickler können einen weiteren Eintrag veröffentlichen, den Titel ändern oder neue Werbemittel für eine andere Zielgruppe starten.

Casino-Apps verschleiern ihren Zweck, um Kontrollen zu umgehen

Anwendungen mit Casinothemen bilden einen bedeutenden Teil der Kampagne. Für legitime Glücksspielangebote können je nach Einsatzort Lizenzauflagen, geografische Einschränkungen, Altersverifikation und weitere regulatorische Kontrollen gelten.

Die täuschenden Einträge versuchen, diese Hürden zu umgehen, indem sie sich als gewöhnliche Puzzlespiele, harmlose Unterhaltung im Stil von Spielautomaten oder themenfremde Dienstprogramme ausgeben. Einige leiten Nutzer zu einer Early-Access-App weiter, andere zu einer externen Glücksspiel-Website.

Diese sogenannten Ghost-Casino-Anwendungen bieten nicht zwangsläufig funktionierendes Glücksspiel. Einige dienen in erster Linie dazu, Werbung auszuliefern, während andere mit Glücksspielbildern und versprochenen Gewinnen versuchen, Nutzer bei der Stange zu halten.

Zwei wiederkehrende Themen sind „Chicken Road“ mit einem Cartoon-Huhn, das einen gefährlichen Weg überquert, und „Ice Fishing“, das als rasantes Live-Dealer-Casinospiel präsentiert wird. Varianten beider Namen sind ebenfalls aufgetaucht.

Die regulatorischen Folgen hängen davon ab, welche Funktionen die jeweilige Anwendung tatsächlich bietet und wo sie verbreitet wird. Die vorliegenden Erkenntnisse belegen nicht, dass jede aufgeführte App Echtgeld-Glücksspiel ermöglicht oder dass ihre Betreiber eine bestimmte Straftat begangen haben. Sie dokumentieren jedoch eine irreführende Darstellung und Versuche, Nutzer mit nicht erbrachten Vorteilen zu gewinnen.

Suchindexierung und Markenmissbrauch lassen Einträge legitim erscheinen

Einige Uploader nutzen Änderungen an den App-Metadaten aus, nachdem ein Eintrag in den Google-Suchergebnissen erschienen ist. Eine App kann zunächst unter einem bekannten Namen wie „Grand Theft Auto V (Early Access)“ erscheinen, Sichtbarkeit in der Suche erlangen und anschließend umbenannt werden.

Der neue Titel, die Screenshots und die beworbenen Funktionen können kaum noch Ähnlichkeit mit der Software haben, die Nutzer letztlich erhalten. Die Forscher fanden außerdem Screenshots, die offenbar von einer KI generiert und nicht aus einem tatsächlichen Spiel aufgenommen worden waren.

Eine bekannte Nachahmung trug den Namen „Vice Streets: Open World“. Die Android-Paketkennung lautete:

com.gamblechaos.withfriends.game

Berichten zufolge überschritt die Anwendung eine Million Downloads und hatte keine öffentlichen Rezensionen oder Bewertungen. Sie ist über Google Play nicht mehr verfügbar. Ob Google sie entfernt hat oder der Uploader sie zurückzog, ist jedoch nicht bekannt. Die gemeldete Verbreitung und der Status im Marktplatz belegen nicht, dass die App Malware enthielt.

Wiederverwendete Marken helfen täuschenden Einträgen, die Glaubwürdigkeit etablierter Marken zu übernehmen. Gleichzeitig erklärt das Label Early Access das Fehlen von Community-Feedback und lässt den Eintrag lediglich unfertig statt potenziell irreführend erscheinen.

Google hat keine konkrete Gegenmaßnahme für die identifizierten Kampagnen angekündigt. Über das Verschwinden einzelner Einträge hinaus wurde auch keine Durchsetzungsmaßnahme bestätigt.

Die Apps sind täuschend, aber keine bestätigte Malware

Die beobachteten Early-Access-Anwendungen sollten nicht mit Android-Remote-Access-Trojanern, Banking-Malware oder Ransomware gleichgesetzt werden. Die Forscher haben in dieser konkreten Kampagne weder den Diebstahl von Zugangsdaten noch Datenexfiltration, die Übernahme von Geräten oder destruktives Verhalten bestätigt.

Die Ergebnisse von Bitdefender deuten vielmehr auf groß angelegten Werbebetrug und eine täuschende Monetarisierung hin. Die Forscher bezeichneten das fehlende System öffentlicher Rezensionen als den Wegfall einer wichtigen, für Nutzer sichtbaren Schutzmaßnahme gegen verdächtige Software.

Andere im Zusammenhang mit der Untersuchung erwähnte Android-Bedrohungen – darunter Hagaseca, Mantax Otax, StreamRat und die Gigabud-Kampagne von GoldFactory – sind separate Operationen. Es gibt keinen nachgewiesenen technischen Zusammenhang zwischen diesen Malware-Familien und den Early-Access-Apps.

Diese Unterscheidung ist für Sicherheitsverantwortliche wichtig. Das Entfernen einer werbeintensiven Belohnungs-App beseitigt zwar das unmittelbare Ärgernis. Indikatoren wie die unbefugte Aktivierung des Accessibility Service, eine unerwartete Nutzung von MediaProjection, nicht erklärbare Arbeitsprofile oder eine Fernsteuerung des Bildschirms deuten jedoch auf eine andere und schwerwiegendere Kompromittierung hin.

Die Early-Access-Aktivität verursacht dennoch erheblichen Schaden. Nutzer können Zeit und mobile Daten verlieren, sich nicht regulierten Glücksspielangeboten aussetzen oder Entscheidungen auf Grundlage fingierter Empfehlungen treffen. Wiederholte täuschende Einträge schwächen außerdem das Vertrauen in die Kontrollen des Google-Play-Marktplatzes.

So können Nutzer und Unternehmen das Risiko verringern

Nutzer sollten Early-Access-Anwendungen, die über Anzeigen mit finanziellen Belohnungen beworben werden, so lange als nicht vertrauenswürdig behandeln, bis sie unabhängig überprüft wurden. Ein Eintrag bei Google Play bestätigt, wo eine App verbreitet wird, nicht, ob ihre Versprechen tatsächlich stimmen.

Vor der Installation sollten Nutzer den Namen des Entwicklers, die Paketkennung, Screenshots, die Beschreibung und die behaupteten Markenrechte vergleichen. Abweichungen zwischen Anzeige, Eintrag und installierter Anwendung sind ein deutlicher Grund, die Software zu entfernen und zu melden.

Angebote mit mühelosem PayPal-Einkommen, Kryptowährungen, Geschenkkarten, Jackpots oder kostenlosen Drehs verdienen besondere Aufmerksamkeit. Ein wachsendes virtuelles Guthaben ist kein Beleg dafür, dass sich Geld auszahlen lässt.

Auch Prominentenvideos sollten als potenziell synthetisch betrachtet werden. Ein bekanntes Gesicht in einer Anzeige in sozialen Medien belegt weder eine Empfehlung noch die Echtheit des Angebots.

Unternehmen, die Android-Flotten verwalten, können die Installation von Early-Access-Anwendungen auf geschäftlich genutzten Geräten blockieren oder einschränken. Die Telemetrie mobiler Geräte sollte auf wiederholte Werbeeinblendungen, Browser-Weiterleitungen und unerwartete Anwendungen unbekannter Entwickler überprüft werden.

Sicherheitsteams sollten risikoreichere Signale separat untersuchen, darunter offen zugängliche Android-Debug-Bridge-Dienste, unbefugte Accessibility-Berechtigungen, Aktivitäten zur Bildschirmaufzeichnung, das Klonen von Arbeitsprofilen und nicht erklärbares Fernsteuerungsverhalten. Diese Merkmale wurden bei den täuschenden Early-Access-Apps nicht bestätigt, können aber auf eine davon unabhängige Android-Malware hindeuten.

Nutzer, die auf irreführende Anwendungen stoßen, sollten sowohl den Google-Play-Eintrag als auch die Anzeige melden, die sie dorthin geführt hat. Wird nur eine Seite gestört, bleibt der andere Verbreitungskanal für eine erneute Nutzung verfügbar.