Super-Apps gelten in Ländern wie China oder Russland als Inbegriff digitalen Komforts. Sie bündeln Chatten, Bezahlen, Essensbestellungen und Behördengänge in einer einzigen Anwendung. Doch was passiert, wenn eine solche Plattform unter direkter staatlicher Kontrolle steht?
Genau das ist bei der russischen App Max der Fall. Die staatlich verordnete Anwendung gilt als Muster digitaler Kontrolle. IT-Sicherheitsforscher haben nun aufgedeckt, welche Überwachungsmöglichkeiten die App bietet.
Wie "heise.de" berichtet, kann Max aufgrund seiner privilegierten Position auf dem Smartphone die Vertraulichkeit und Integrität aller eingebetteten Mini-Apps sowie der Nutzerdaten vollständig untergraben. Das geschehe lautlos, ohne spezielle Systemrechte und ohne Spuren zu hinterlassen.
Die Forscher identifizierten fünf konkrete Angriffsvektoren: Max kann jederzeit unbemerkt Bildschirminhalte aufnehmen und so Passwörter oder Bankdaten abfangen. Die App hat vollen Zugriff auf den lokalen Speicher und kann Cookies und Sitzungsschlüssel auslesen.
Sie kann beliebigen Code in laufende Mini-Apps einschleusen und kontrolliert den gesamten Netzwerkverkehr über staatliche Proxy-Server.
Besonders brisant: Max beherrscht vollständigen Identitätsdiebstahl. Da die App die Zuordnung der Benutzerkonten verwaltet, kann sie sich gegenüber Mini-Apps als der jeweilige Nutzer ausgeben, ohne dass der Anwender etwas bemerkt.
Bezeichnend ist, dass russische Funktionäre laut Insidern für den Alltag weiterhin auf Telegram oder Signal ausweichen. Max nutzen sie nur auf Zweitgeräten. Die Wissenschaftler fordern nun, dass mobile Betriebssysteme Super-Apps künftig wie Browser behandeln und eine strikte Trennung auf Systemebene durchsetzen.
