Android-Spyware nimmt russische Soldaten in der Ukraine ins Visier

Eine neue Spyware für Android-Smartphones hat offenbar gezielt russische Militär-Angehörige ins Visier genommen. Über die Herkunft des Schadcodes ist bisher kaum etwas bekannt - es ist aber wahrscheinlich, dass die Ukraine ihre Finger im Spiel hat.

Versteckt in Kartenanwendung

Die Malware mit der Bezeichnung Android.Spy.1292.origin ist in einer manipulierten Version der beliebten Kartenanwendung Alpine Quest versteckt, die insbesondere von Jägern, Sportlern und russischen Soldaten im Einsatz in der Ukraine verwendet wird. Die trojanisierte App wird über einen speziellen Telegram-Kanal sowie in inoffiziellen Android-App-Stores verbreitet.

Die Anwendung wird als kostenlose Version der eigentlich kostenpflichtigen Pro-Variante von Alpine Quest angeboten - ein Anreiz für viele Nutzer, sie trotz ihres dubiosen Ursprungs zu installieren. Da die App optisch und funktional kaum vom Original zu unterscheiden ist, bleibt die Schadsoftware häufig unentdeckt, erklärte man seitens der russischen Sicherheitsfirma Dr.Web, die die Malware entdeckte.


Beim Start der infizierten Anwendung übermittelt die Malware eine Vielzahl sensibler Daten an einen Command-and-Control-Server. Dazu zählen unter anderem die Telefonnummer des Nutzers, Kontakte aus dem Adressbuch, aktuelle Standortdaten, gespeicherte Dateien sowie die App-Version. Besonders interessiert zeigen sich die Angreifer an vertraulichen Dokumenten, die über Telegram oder WhatsApp versendet werden, sowie an dem Standortprotokoll "locLog", das von Alpine Quest erstellt wird.

Modulares Design

Durch ihr modulares Design kann die Schadsoftware nachträglich erweitert werden - etwa um neue Funktionen zum Datendiebstahl oder zur Spionage. Google gab unterdessen bekannt, dass Android-Nutzer bei aktiviertem "Play Protect"-Schutzmechanismus vor bekannten Versionen der Malware geschützt sein sollten. Dennoch bleibt das Risiko für Nutzer, die Apps aus unsicheren Quellen installieren, hoch.

Parallel zur Entdeckung von Android.Spy.1292.origin berichtete die Moskauer IT-Sicherheitsfirma Kaspersky von einer weiteren Bedrohung: Eine bislang unbekannte Schadsoftware attackiert gezielt russische Regierungs-, Finanz- und Industrieeinrichtungen. Die Angriffe erfolgen über manipulierte Update-Pakete für das Sicherheitsnetzwerk ViPNet - ein weiterer Beleg für die zunehmende Komplexität digitaler Kriegsführung.


Siehe auch: