Perfide Android-Malware tarnt sich als legitime Google-Apps

Eine neue Android-Schadsoftware namens Cellik tarnt sich als be­kann­te App aus dem Google Play Store und macht Smartphones heimlich zur Datenquelle für Cyberkriminelle. Im Darknet wird der gefährliche Trojaner jetzt angeboten.

Malware-as-a-Service

Cellik wird als sogenannter Malware-as-a-Service in einschlägigen Cybercrime-Foren beworben. Dahinter steckt kein einzelner Virus, sondern ein Baukastensystem, mit dem Kriminelle gezielt manipulierte Android-Apps erstellen können.

Das Besondere an Cellik ist, dass sich die Schadsoftware in Apps einbauen lässt, die ursprünglich aus dem Google Play Store stammen. Angreifer wählen dafür bekannte Anwendungen aus und erzeugen eine präparierte Kopie, die äußerlich unverändert wirkt. Oberfläche und Funktionen bleiben erhalten, sodass Nutzer keinen Verdacht schöpfen.

Vertrauenswürdigkeit ausgenutzt

Genau das macht die Methode so gefährlich, denn die manipulierten Apps erscheinen vertrauenswürdig und können so auch über längere Zeit unentdeckt bleiben.

Entdeckt wurde Cellik nun von den Sicherheitsforschern von iVerify. Cellik bringt ein breites Arsenal an Funktionen mit. Die Malware kann den Bildschirm eines infizierten Geräts live übertragen, Benachrichtigungen auslesen, auf Dateien zugreifen und diese an einen entfernten Server senden. Auch das Löschen von Daten aus der Ferne ist möglich.

Die Kommunikation mit den Angreifern erfolgt über verschlüsselte Kanäle, um eine Entdeckung zu erschweren. Besonders heikel ist ein versteckter Browsermodus. Damit können Angreifer Webseiten über das betroffene Smartphone aufrufen und dabei auf gespeicherte Cookies zurückgreifen. So lassen sich unter Umständen bestehende Log-ins missbrauchen, ohne dass Passwörter erneut eingegeben werden müssen.

Weitere Einschleusungsversuche

Hinzu kommt ein sogenanntes Injektionssystem. Damit können gefälschte Anmeldefenster über echte Apps gelegt oder schädlicher Code direkt in bestehende Anwendungen eingeschleust werden. Für Betroffene ist kaum erkennbar, dass eine eigentlich vertraute App plötzlich Daten abgreift oder sich verdächtig verhält.

Cellik lässt sich einzigartig in Google Play Store-Apps integrieren und enthält einen Ein-Klick-APK-Builder, mit dem Angreifer ihre Payload in legitime Apps einbetten können, um sie heimlich und weitreichend zu verbreiten.

Der Anbieter behauptet, dass diese Methode sogar Googles Schutzmechanismus Play Protect umgehen könne, weil der Schadcode in bekannten App-Paketen versteckt wird. Ob das in der Praxis tatsächlich zuverlässig funktioniert, ist bislang nicht bestätigt. Eine Stellungnahme von Google liegt bislang nicht vor.


Wie gut sind Nutzer wirklich geschützt, wenn selbst vertraute Apps zur Gefahr werden können? Diskutiert mit uns in den Kommentaren.
Siehe auch: