Necro: Alte Botnetz-Malware zieht erneut in Android ihre Kreise

Eine Botnetz-Malware zieht aktuell ihre Kreise durch die Android-Platt­form. Dies allein sollte bereits genügen, um besorgt zu sein. Schlimmer macht es allerdings die Tatsache, dass es sich um eine Wiederholung eines seit fünf Jahren bekannten Problems handelt.

Schon 2019 aktiv

Im Jahr 2019 entdeckten Sicherheitsforscher eine besorgniserregende Sicherheitslücke in einer legitimen Android-App, die über den Google Play Store verbreitet wurde. Eine Werbebibliothek, die Entwickler zur Monetarisierung ihrer Software nutzten, hatte die App heimlich mit schädlichem Code infiziert. Über 100 Millionen Geräte wurden so mit Malware infiziert, die Verbindungen zu Servern der Angreifer aufbaute und verdeckte weitergehende Schadprogramme herunterlud.

Nun wiederholt sich die Geschichte. Mitarbeiter des in Moskau ansässigen Sicherheitsunternehmens Kaspersky haben zwei neue Apps entdeckt, die von der gleichen Malware-Familie betroffen sind. Diese Anwendungen wurden insgesamt rund elf Millionen Mal über den Google Play Store heruntergeladen. Wie schon damals scheint ein bösartiges Software Development Kit (SDK) für Werbefunktionen die Ursache zu sein.


Die Malware-Familie, die in beiden Fällen verwendet wurde, trägt den Namen "Necro". In der aktuellen Variante nutzt sie Techniken wie Steganografie, eine seltene Methode zur Verschleierung von Daten in mobilen Schadprogrammen. Necro kontaktiert nach der Infektion einen Kommandoserver und sendet verschlüsselte Daten über das infizierte Gerät. Der Server antwortet mit einem Bild, das versteckte Informationen enthält, welche anschließend entschlüsselt und als Schadcode ausgeführt werden.

Mehrere Wege

Kaspersky entdeckte Necro in zwei recht beliebten Apps aus dem Google Play Store. Eine davon ist "Wuta Camera", die schon auf über 10 Millionen Downloads kommt. Die Versionen 6.3.2.148 bis 6.3.6.148 dieser App enthielten das schädliche SDK, das mittlerweile aber entfernt wurde. Eine weitere App namens "Max Browser" mit etwa einer Million Downloads war ebenfalls betroffen, ist aktuell jedoch nicht mehr im Play Store verfügbar.

Zusätzlich wurde Necro auch in verschiedenen Apps aus alternativen App-Stores gefunden, die sich als modifizierte Versionen legitimer Apps wie Spotify oder Minecraft ausgaben. Eine Infektion zu erkennen, ist nicht gerade einfach. Bei einem Verdacht hilft es im Grunde nur, die Hashes von Dateien abzugleichen (siehe den Abschnitt "Indicators of compromise" im Kaspersky-Blog) oder Experten zu kontaktieren.


Siehe auch: