Neue Trojaner-Kampagnen greifen Hunderte von Krypto-Wallets und Banking-Apps an

Cybersicherheitsforscher haben vier aktive Familien von Android-Malware entdeckt, die +800 Apps angreifen, darunter Krypto-Wallets und Banking-Apps. Diese Malware verwendet Methoden, die die meisten traditionellen Sicherheitstools nicht erkennen können.

Das zLabs-Team von Zimperium hat Ergebnisse veröffentlicht, die die als RecruitRat, SaferRat, Astrinox und Massiv bekannten Trojaner verfolgen.

Laut der Forschung des Unternehmens hat jede Familie ihr eigenes Command-and-Control-Netzwerk, das sie zum Stehlen von Login-Informationen, zur Übernahme finanzieller Transaktionen und zum Erlangen von Benutzerdaten von infizierten Geräten nutzt.

Krypto- und Banking-Apps stehen vor neuen Bedrohungen durch mehrere Malwares

Die Malware-Familien stellen eine direkte Bedrohung für jeden dar, der Krypto auf Android verwaltet.

Sobald sie installiert sind, können die Trojaner gefälschte Login-Bildschirme über echte Krypto- und Banking-Apps legen und so Passwörter und andere private Informationen in Echtzeit stehlen. Die Malware legt dann eine gefälschte HTML-Seite über die reale App-Oberfläche und erzeugt, was das Unternehmen als „hochgradig überzeugende, täuschende Fassade“ bezeichnet.

„Unter Verwendung von Accessibility Services, um den Vordergrund zu überwachen, erkennt die Malware den genauen Moment, in dem ein Opfer eine Finanzanwendung startet“, schrieben Sicherheitsforscher von Zimperium.

Laut dem Bericht können die Trojaner mehr als nur Zugangsdaten stehlen. Sie können auch Einmal-Passwörter abfangen, den Bildschirm des Geräts an Angreifer streamen, ihre eigenen App-Symbole verstecken und verhindern, dass Menschen sie deinstallieren.

Jede Kampagne verwendet einen anderen Köder, um die Menschen dazu zu bringen, darauf hereinzufallen.

SaferRat verbreitete sich durch gefälschte Websites, die kostenlosen Zugang zu Premium-Streaming-Diensten versprachen. RecruitRat verbarg seine Payload als Teil eines Bewerbungsprozesses und leitete Ziele zu Phishing-Sites, die sie aufforderten, eine schädliche APK-Datei herunterzuladen.

Astrinox nutzte die gleiche Art von rekrutierungsbasierter Methode und verwendete die Domain xhire[.]cc. Je nach dem zur Besuche der Site verwendeten Gerät wurden unterschiedliche Inhalte angezeigt.

Android-Nutzer wurden aufgefordert, ein APK herunterzuladen, und iOS-Nutzer sahen eine Seite, die wie der Apple App Store aussah. Sicherheitsforscher fanden jedoch keine Beweise dafür, dass iOS tatsächlich gehackt wurde.

Es war während des Forschungszyklus nicht möglich zu bestätigen, wie Massiv verbreitet wurde.

Alle vier Trojaner nutzten Phishing-Infrastruktur, SMS-Betrug und Social Engineering, das auf das Bedürfnis der Menschen spielte, schnell zu handeln, oder auf ihre Neugier, um sie dazu zu bringen, schädliche Apps zu sideloaden.

Krypto-Malware umgeht die Erkennung

Die Kampagnen zielen darauf ab, Sicherheitswerkzeuge zu umgehen.

Forscher stellten fest, dass die Malware-Familien fortschrittliche Anti-Analyse-Techniken und strukturelle Manipulationen an Android-Anwendungspaketen (APKs) verwenden, um das, was das Unternehmen als „nahezu Null-Erkennungsraten gegenüber traditionellen signaturbasierten Sicherheitsmechanismen“ bezeichnet, aufrechtzuerhalten.

Die Netzwerkkommunikation mischt sich auch mit regulärem Verkehr. Die Trojaner nutzen HTTPS- und WebSocket-Verbindungen, um mit ihren Command-Servern zu kommunizieren. Einige Versionen fügen diesen Verbindungen zusätzliche Verschlüsselungsschichten hinzu.

Ein weiterer wichtiger Punkt ist die Ausdauer. Moderne Android-Banking-Trojaner verwenden keine einfachen Infektionen mit einem einzigen Schritt mehr. Stattdessen nutzen sie mehrstufige Installationsprozesse, die darauf abzielen, das sich ändernde Berechtigungsmodell von Android zu umgehen, was es Apps erschwert hat, Dinge ohne die ausdrückliche Erlaubnis des Benutzers zu tun.

Der Bericht nannte keine bestimmten Krypto-Wallets oder Börsen innerhalb der +800 angegriffenen Anwendungen. Aufgrund von Overlay-Angriffen, der Abfangung von Passwörtern und des Streamings des Bildschirms könnte jedoch jede auf Android basierende Krypto-App gefährdet sein, wenn ein Benutzer eine schädliche APK-Datei außerhalb des Google Play Store installiert.

Das Herunterladen von Apps über Links in Textnachrichten, Stellenanzeigen oder Werbe-Websites ist nach wie vor eine der garantierten Methoden, mit denen mobile Malware in ein Smartphone gelangt.

Menschen, die ihre Kryptowährungen auf Android-Geräten verwalten, sollten nur offizielle App-Stores nutzen und vorsichtig sein bei Popup-Nachrichten, die sie zum Herunterladen von etwas auffordern.