Wie prüfe ich ob eine APK aus alternativer App-Datenbank sicher ist?

[DwainZwerg]

Bei apkmirror findet man nur frei verfügbare Apps mit originaler Signatur - und die jemand halt hochgeladen hat

So soll das auch bei apkpure und uptodown laufen. Dennoch sind die irgendwie nicht ganz koscher.

 

[holms]

@DwainZwerg Diese beiden Dienste prüfen nicht standardmäßig die Signaturen. Angeblich wird von Mitarbeitern geprüft.

Und es gibt/gab modifizierte Apps dort gegeben. Ich wäre da extrem vorsichtig.

Beiträge automatisch zusammengeführt: 07.01.2024

@PoweredByHuawei

Kicker App original aus dem Play Store hier im Anhang. Weiß nicht, ob sie bei dir läuft. Zudem auch so schon eine Datenschleuder

 

[PoweredByHuawei]

Den Kicker habe ich aus dem Play Store runtergeladen. Ich dachte nur, wenn sie bei apkmirror nicht erscheint, ob sie dann vielleicht nicht sicher ist. Das Ding nimmt viel Speicher ein, ja. Ich denke, ich schmeiße die auf dem Hauptgerät raus und lasse die auf dem Zweitgerät laufen.

Mir reicht in dem Fall eine App, die die Spieltagsergebnisse von 2 oder 3 Wunschligen anzeigt. Die ganzen Sportnachrichten sind zweitrangig

 

[KalleMerkt]

Ich dachte nur, wenn sie bei apkmirror nicht erscheint, ob sie dann vielleicht nicht sicher ist.

Der Schluss trifft nicht zu.
Es hat halt noch keiner die App hochgeladen.

 

[PoweredByHuawei]

Danke für die Empfehlung und Erklärung Kalle.

 

[swa00]

@PoweredByHuawei

Es gibt auch zwei technische Gründe :

a)
Viele Apps haben auch eine Herkunftsabfrage und beschränken sich auf die Installtions-Quelle - ansonsten laufen sie nicht
Auch wenn jemand die apk hochladen möchte, so würde das demnach keinen Sinn machen .

b) Apps werden vermehrt als "Bundle" ausgeliefert.
Das heisst, der Playstore überprüft automatisch die Bibliotheken , die für diese App notwendig sind und bestimmt , was nachgeladen werden muss.
Eine Apk alleine beinhaltet i.d.R. nicht die notwenigen Bibliotheken und können somit nicht bei externen Stores angeboten werden.

 

[DwainZwerg]

Diese beiden Dienste prüfen nicht standardmäßig die Signaturen. Angeblich wird von Mitarbeitern geprüft.

So wie ich es bisher verstanden habe, machen sie dasselbe wie apkmirror, sind nur längst nicht so gut darin. Das Problem bei APKpure sind eigentlich nicht die Signaturen. Die sind eigentlich immer richtig, sondern, dass die angebotenen Apps teilweise nicht die Originalapps sind, aber dennoch die Originalsignatur tragen (wo ich mich frage, wie man das schafft) → apkpure, uptodown und Konsorten nicht verwenden. Es gibt bei APKPure gerade bei PayPal und der Postbank BestSign App Releases bevor sie überhaupt im Play Store erscheinen. Klar, dass das nicht koscher sein kann.
@PoweredByHuawei

Datenschleuder

Das Ding nimmt viel Speicher ein, ja.

Ne, das Ding hat ohne Ende Tracker, das meint Holmes, lieber die Website nehmen.

 

[holms]

Die sind eigentlich immer richtig, sondern, dass die angebotenen Apps teilweise nicht die Originalapps sind, aber dennoch die Originalsignatur tragen (wo ich mich frage, wie man das schafft)

Das geht nicht... Entweder original oder nicht.

 

[KalleMerkt]

a)
Viele Apps haben auch eine Herkunftsabfrage und beschränken sich auf die Installtions-Quelle - ansonsten laufen sie nicht
Auch wenn jemand die apk hochladen möchte, so würde das demnach keinen Sinn machen .

Kompletter Unfug.

Das geht nicht... Entweder original oder nicht

Sehr richtig. Deswegen kann man, wenn man eine alte App aus zuverlässiger Quelle hat, erst die alte App installieren und die neue aus fragwürdiger Herkunft als Update einspielen. Ist die neue korrupt, dann wird die neue nicht eingespielt.

 

[swa00]

@KalleMerkt

• a)
  Viele Apps haben auch eine Herkunftsabfrage und beschränken sich auf die Installtions-Quelle - ansonsten laufen sie nicht
  Auch wenn jemand die apk hochladen möchte, so würde das demnach keinen Sinn machen .

Kompletter Unfug.

Es würde Dir wirklich mal gut tun, Dich vorher schlau zu machen , bevor du Beitrage als Unfug bezeichnest und du damit wiederholt mit deinem nicht vorhandenen Fachwissen glänzt.

Und es nervt uns vermehrt, Dich immer wieder darauf hinzuweisen und zu korrigieren, um im Sinne der Community keine Verwirrung zu stiften.


Auch an dieser Stelle wieder für Dich was zum Lesen :
(damit du nicht noch selber suchen musst - das wäre ja zu viel verlangt)


Non Obfuscated :

PackageManager packageManager = getPackageManager();
String pName = "any.package";
String iPName = packageManager.getInstallerPackageName(pName);

boolean installedFromPlayStore = "com.android.vending".equals(iPName);

if (installedFromPlayStore) {
    // von Google Playstore
} else {
    // von irgend woher - >  Ausführung ablehnen -> finish()
}

Referenz < API 30
PackageManager | Android Developers

Retrieve the package name of the application that installed a package. This identifies which market the package came from.

Und für > API 30
InstallSourceInfo | Android Developers


Das setzen wir seit Jahren in allen Apps erfolgreich ein, und die Anwendung ist Pflicht, wenn du als Hersteller zertifiziert bist.
Zumal ein "must have" bei allen B2B Projekten

 

[PoweredByHuawei]

@PoweredByHuawei


Ne, das Ding hat ohne Ende Tracker, das meint Holmes, lieber die Website nehmen.

Dann werde ich die App löschen und mit der Desktop-Variante in Firefox arbeiten. Danke

 

[hsl-berlin]

Hi,
ich würde mir ein altes Gerät zurechtmachen, auf das ich solche unsicheren Apps runterlade um sie zu testen/auf Malware überprüfen, bevor ich sie auf mein Arbeitsgerät lade. Bin noch Android-Neuling, mache das so in der Windowswelt.

 

[MrT69]

@hsl-berlin
Das ist eigentlich völlig sinnlos, denn das wird das Problem nicht beheben.

Beispiel:
Die Mail App von Web.de

Wenn du diese App analysierst, wirst du feststellen, keine Werbung, keine Spyware nichts.
Installiere die App, mach dein Mail auf und siehe da, wie durch ein Wunder Werbung zwischen und in den Mails.

Wie geht das?
Die App hat ein sogenanntes Sideloading eingebaut. Das bedeutet, die App ist an sich sauber und erst beim öffnen werden zusätzliche Daten heruntergeladen um die App zu „modifizieren“.
Somit hat der Werbeanbieter seine Finger direkt in dem Mailverkehr drin. Ob und wie weit die da mitlesen, was auch strafbar wäre, lasse ich mal außen vor. Fakt ist, das es so möglich wäre.

Was die durch Sideloading noch alles anstellen können auf diesem Wege, das kannst du dir jetzt bestimmt ausmalen, lass deiner Fantasie freien Lauf und ich versichere dir, zu 100%, dass das nicht nur möglich ist, einige setzen das auch erfolgreich um.

Da Daten und Informationen heute wertvoller als Gold sind, erfolgen solche Infektionen relativ leise, um es so zu sagen. Lieber weniger auffallen und dafür mehr Daten.

Und jetzt kannst du dir ungefähr ausmalen, es ist nahezu sinnlos die App vorher zu scannen, weil du auf dem Weg so gut wie nichts finden wirst.

 

[hsl-berlin]

@MrT69 Hi, das gilt ja dann auch für Windows und mein Verfahren erkennt also nur sehr einfach gestrickte Malware. Aufwendig und für mich viel zu kompliziert: Den Datenstrom der App analysieren und filtern, falls das überhaupt sinnvoll realisiert werden kann.