SharkBot: Malware verbreitet sich über Google Play, stiehlt Cookies

Vor mehreren Monaten wurde bekannt, dass sich ein als Antiviren-App getarnter Trojaner über den Google Play Store verbreitet. Die Schadsoftware scheint sich weiterentwickelt zu haben. Das Programm hat nun die Möglichkeit, Login-Cookies der Nutzer zu entwenden. Die Malware taucht in Apps auf, die zehntausende Male installiert wurden. Der Trojaner wird nicht vom Google Play Store erkannt, da der Schadcode zu Beginn nicht in der Anwendung enthalten ist. SharkBot wird erst mit einem Update, das nach der Installation und dem ersten Start der App durchgeführt wird, heruntergeladen. Bei zwei kompromittierten Apps handelt es sich um den "Mister Phone Cleaner" sowie "Kylhavy Mobile Security". Beide Programme verzeichnen zusammen mehr als 60.000 Downloads. Der Trojaner SharkBot wurde mit einer Funktion zum Stehlen von Cookies ausgestattet Obwohl die beiden Anwendungen laut Bleeping Computer inzwischen aus dem Google Play Store entfernt wurden, sind alle Android-Nutzer, die die App schon installiert haben, weiterhin gefährdet. Die Programme sollten nicht gestartet und manuell gelöscht werden.

Schon seit einiger Zeit kann SharkBot die Barrierefreiheits-Features von Android manipulieren und so beliebige Aktionen auf dem Zielgerät ausführen. Jetzt wurde der Trojaner um eine Funktion zum Stehlen von Cookies erweitert. Sobald sich der Smartphone-Besitzer in sein Bank-Konto einloggt, wird der Session-Cookie abgegriffen und an einen Command-and-Control-Server (C2) gesendet.

Trojaner kann auch Überweisungen durchführen

Zusätzlich besitzt SharkBot die Option, ein Smartphone komplett zu übernehmen und vom C2-Server aus fernzusteuern. Neben Login-Cookies können auch SMS abgefangen werden. Mit den gestohlenen Informationen ist es möglich, Bank-Transaktionen durchzuführen. Das soll in der Praxis jedoch nur in wenigen Fällen passiert sein.

Siehe auch: