App zur Paketverfolgung arbeitet wie ein Bot
Die Paket-Tracking-App "Parcels" des russischen Entwicklers Pavel Tisunov nutzt offenbar Botnetz-Techniken. Das hat der brasilianische iOS-Programmierer Guilherme Rambo herausgefunden.
"Parcels", nicht zu verwechseln mit "
Parcel" von Ivan Pavlov, das ebenfalls im App Store zu finden ist, bietet die Sendungsverfolgung bei zahlreichen Paketdiensten an. In der Liste finden sich UPS, Deutsche Post und Schweizerische Post ebenso wie viele chinesische und weitere internationale Transportdienstleister. Der Entwickler wirbt außerdem damit, dass sich seine App insbesondere für das Tracking von Lieferungen aus China eigne.
Guilherme Rambo schreibt auf dem Portal
9to5Mac, die kostenlose App beginne unmittelbar nach dem Öffnen damit, von anderen Anwendern eingetragene Paketdaten von Pavel Tisunovs Server herunterzuladen. Anschließend rufe das iPhone mit diesen Informationen den aktuellen Paketstatus der Sendungen der fremden Nutzer von den Servern der entsprechenden Paketdienste ab und leite ihn an den "Parcels"-Server weiter.
Diese Vorgehensweise ist nahezu identisch mit der Technik, die von Botnetzen genutzt wird. Rambo betont zwar, dass er bei seiner Analyse der App bislang keine Hinweise auf schädliches Verhalten gefunden habe. Allerdings könnte sich das natürlich jederzeit ändern und die Anwendung für DDoS- oder Man-in-the-middle-Angriffe eingesetzt werden. Da die Nutzer von "Parcels" nicht über die Arbeitsweise der App informiert werden, verstößt der Entwickler darüber hinaus gegen zumindest europäisches Datenschutzrecht.
Die von "Parcels" angewandte Technik ist laut den Richtlinien für den App Store nicht erlaubt. Apple wurde bereits informiert, bislang ist die App allerdings immer noch im App Store verfügbar.