Hackers bewaffnen Telegram Messenger mit Malware, um Systemkontrolle zu erlangen

Berichten zufolge wird die Malware über irreführende In-App-Werbung und Drittanbieter-App-Stores, die sich als legitime Dating- und Kommunikationsplattformen tarnen, auf Geräte geschmuggelt. Diese Bedrohung stellt eine erhebliche Eskalation in der Verteilung mobiler Malware dar, die sich auf 58.000 infizierte Geräte ausgebreitet hat.

Darüber hinaus hat es sich auf mehr als 3.000 Smartphones, Tablets, TV-Boxen und einige auf Android basierende Fahrzeugsysteme ausgebreitet.

Hackers bewaffnen Telegram mit Malware, um Zugang zu erlangen

Der Bericht behauptet, dass die Verteilung des Backdoors im Jahr 2024 begann, wobei der Hacker hauptsächlich brasilianische und indonesische Nutzer über portugiesische und indonesische Sprachvorlagen zielte. Die Opfer stoßen auf Werbung innerhalb der mobilen Anwendung, die sie zu gefälschten App-Katalogen mit gefälschten Bewertungen und Werbebanner, die kostenlose Videochats und Dating-Möglichkeiten bewerben, umleitet. Diese gefälschten Websites liefern Apps, die mit Malware infiziert sind und wie die legitimen aussehen.

Neben den bösartigen Websites hat sich das Backdoor auch in etablierten Drittanbieter-Repositories wie APKPure, ApkSum und AndroidP eingeschlichen, wo es unter dem Namen des offiziellen Messenger-Entwicklers getäuscht veröffentlicht wird, obwohl es eine andere digitale Signatur hat.

Analysten haben die Malware als außergewöhnlich befähigt identifiziert, vertrauliche Informationen zu stehlen, einschließlich Anmeldeinformationen, Passwörtern und vollständigen Chat-Verläufen. Das Backdoor verbirgt auch Indikatoren für kompromittierte Konten, indem es Drittanbieter-Geräteverbindungen aus den aktiven Telegram-Sitzungslisten ausblendet.

Darüber hinaus ist es in der Lage, Opfer ohne deren Zustimmung aus Kanälen und Chats zu entfernen oder hinzuzufügen, diese Aktionen vollständig zu tarnen und kompromittierte Konten in Tools zur künstlichen Aufblähung der Telegram-Kanal-Abonnenten zu verwandeln.

Was es von herkömmlichen Android-Bedrohungen unterscheidet, ist die Verwendung der Redis-Datenbank für Command-and-Control-Operationen. Die früheren Versionen der Malware verließen sich auf traditionelle C2-Server, aber die Entwickler haben Redis-basierte Befehle integriert.

Malware manipuliert Funktionen ohne Entdeckung

Der Bericht behauptet, dass das Backdoor mehrere Techniken verwendet, um Messenger-Funktionen zu manipulieren, ohne entdeckt zu werden. Für Operationen, die die Kern-App-Funktionen nicht stören, verwenden die Hackers bereits vorbereitete Mirrors von Messenger-Methoden, die separate Codeblöcke sind, die für spezifische Aufgaben innerhalb der Android-Programmarchitektur verantwortlich sind.

Dieser Mirror ermöglicht es der App, Phishing-Nachrichten in Fenstern anzuzeigen, die die ursprünglichen Telegram X-Schnittstellen perfekt nachahmen.

Für andere Operationen, die eine tiefere Integration erfordern, verwendet die Malware das Xposed-Framework, um die App-Methoden zu modifizieren, was Fähigkeiten wie das Ausblenden spezifischer Chats, das Verbergen autorisierter Geräte und das Abfangen von Zwischenablage-Inhalten ermöglicht. Die Backdoor-Malware verwendet Redis-Kanäle und C2-Server, um umfangreiche Befehle zu empfangen, einschließlich des Hochladens von SMS, Kontakten und Zwischenablage-Inhalten, wann immer ein Benutzer das Messenger-Fenster minimiert oder wiederherstellt.

Die Überwachung der Zwischenablage wird von Hackers zum Datendiebstahl verwendet, wie Krypto-Wallet-Passwörter, Mnemonische Phrasen oder vertrauliche Geschäftskommunikationen, die unbemerkt offengelegt wurden. Das Backdoor sammelt Geräteinformationen, installierte Anwendungsdaten, Nachrichtenverläufe und Authentifizierungstokens und überträgt die Informationen alle drei Minuten an die Hackers, während es den Anschein eines normalen Telegram-Messenger-Betriebs aufrechterhält.