Russische Android-Spyware überträgt massenhaft Daten an Unbekannte

Sicherheitsforscher von Lab52 warnen jetzt vor einem Daten-stehlenden Android-Trojaner, dessen Hinterleute in Russland sitzen. Der Trojaner geht dabei be­son­ders gemein vor, denn er versteckt sich und fordert eine Vielzahl an Zugriffs-Be­rech­ti­gun­gen an. Dabei sind die Sicherheitsforscher derzeit noch bei der Analyse, was der neue Android-Trojaner alles auf dem Kerbholz hat. Das berichtet das Online-Magazin Bleeping Computer. Was man bislang weiß ist, dass der Android-Trojaner in direkter Verbindung zu der russischen Hackergruppe Turla steht. Lab52 hat dabei eine App entdeckt, die sich "Process Manager" nennt und im Hintergrund die Infrastruktur nutzt, die zuvor den Bedrohungsakteuren von Turla zugeschrieben wurde. Turla ist eine vom russischen Staat unterstützte Hackergruppe, die mit maßgeschneiderter Malware europäische und amerikanische Systeme angreift, vor allem zu Spionagezwecken. Infografik: Das sind die erfolgreichsten Betreff-Zeilen beim Phishing Die nun entdeckte App "Process Manager" ist eine klassische Android-Spyware. Sie sammelt Daten und schickt alle Informationen heimlich an ihre Entwickler.

Bösartige Schadsoftware nennt sich "Process Manager"

Bisher ist nicht bekannt, wie die Spyware verbreitet wird. Lab52 geht davon aus, dass man den Trojaner selbst nicht im Google Play Store findet. Die Hacker nutzen vor allem Phishing, um Opfer dazu zu bringen, den Trojaner zu laden. Nach der Installation versucht die bösartige App Process Manager, sich auf einem Android-Gerät zu verstecken, indem sie vorzutäuscht, eine Systemkomponente zu sein. Dazu wird ein zahnradförmiges Symbol angezeigt, das an die Einstellungen erinnert.

Beim ersten Start fordert die App den Nutzer auf, ihr eine Vielzahl an Berechtigungen zu erteilen. Dazu gehört der Zugriff auf Speicherort, Feinstandort, Netzwerkstatus und WLAN-Status. Zudem sollen Berechtigungen für Kamera, Internet, das Ändern der Audioeinstellungen, SMS lesen und senden, Anrufprotokoll lesen, Kontakte lesen und Audio aufzeichnen gegeben werden. Damit ist die App ein ernsthaftes Risiko nicht nur in Sachen Privatsphäre. Nachdem die App diese Berechtigungen erhalten hat, entfernt sich die Spyware von dem Home-Bildschirm und läuft dann ständig im Hintergrund.

Die vom Gerät gesammelten Informationen, einschließlich Listen, Protokolle, SMS, Aufnahmen und Ereignisbenachrichtigungen, werden im JSON-Format an den Command-and-Control-Server der Cybergangster gesendet.

Bei der Untersuchung der App fand das Lab52-Team auch heraus, dass sie zusätzliche Nutzdaten auf das Gerät herunterlädt, und fand einen Fall einer App, die direkt aus dem Play Store geholt wurde. Es handelt sich dabei um "Roz Dhan: Earn Wallet Cash". Es ist möglich, dass dies ein Teil der Taktik ist, um Spuren zu verwischen und Sicherheitsforscher zu verwirren. Laut Lab52 können die Hacker über "Roz Dhan: Earn Wallet Cash" aber auch im Hintergrund Geld verdienen.

Siehe auch: