NoVoice-Rootkit entdeckt: Malware-Gefahr für Millionen Android-Handys

Eine neue Malware-Kampagne namens NoVoice bedroht zahlreiche Android-Geräte. Die Schadsoftware wurde als versteckte Nutzlast in mehr als 50 Apps entdeckt, die regulär im Google Play Store angeboten wurden.

Gefahr durch infizierte Android-Apps

Nach Angaben von Sicherheitsforschern wurden die kompromittierten Anwendungen insgesamt rund 2,3 Millionen Mal heruntergeladen. Die Programme gaben sich als scheinbar harmlose Alltags-Apps wie Systemreiniger, Spiele oder Bildergalerien aus.

Die Angreifer nutzen bei der Infektion gezielt ältere Sicherheitslücken im Android-System aus. So verschaffen sie sich weitreichende Rechte und können das Smartphone vollständig kontrollieren. Teile des Schadcodes sind in Bilddateien versteckt, ein Verfahren, das als Steganografie bekannt ist. Dadurch wirken die Daten wie normale Grafiken und können automatischen Prüfmechanismen in App-Stores entgehen.

Malware erschleicht sich Systemrechte

Wie das Sicherheitsteam von McAfee berichtet, handelt es sich bei NoVoice um ein Rootkit. Die Malware erschleicht sich tiefgreifende Systemrechte und überschreibt zentrale Bibliotheken.

Auf älteren, nicht mehr unterstützten Geräten kann sich der Code so tief im System verankern, dass ein Zurücksetzen auf Werkseinstellungen nicht ausreicht. In solchen Fällen hilft nur ein komplettes Neuaufspielen der Firmware.

Datendiebstahl bei WhatsApp

Zentrales Ziel der Angreifer ist der Zugriff auf sensible Daten. Besonders im Fokus steht der Messenger WhatsApp. Laut McAfee wurden Module gefunden, die beim Start der App aktive Sitzungen auslesen und die dafür nötigen Schlüssel und Metadaten kopieren. So lässt sich ein WhatsApp-Konto auf einem anderen Gerät klonen. Angreifer könnten dann im Namen der Opfer Nachrichten verschicken, Kontakte ausspähen oder betrügerische Maschen anstoßen. Auffällige Hinweise für die Betroffenen gibt es oft zunächst nicht.

Der Name NoVoice geht auf eine stumm abgespielte Audiodatei zurück, mit der die Malware das Betriebssystem beschäftigt hält. So wird verhindert, dass der schädliche Prozess als inaktiv eingestuft und beendet wird.

Besonders hart trifft der Angriff ältere Android-Smartphones, die seit Jahren keine Sicherheitsupdates mehr erhalten. Auf solchen Geräten kann NoVoice dauerhaft aktiv bleiben. Google hat die bekannten schadhaften Apps nach Angaben der Forscher aus dem Play Store entfernt. Geräte mit einem Android-Sicherheitsstand vom 1. Mai 2021 oder neuer sind gegen die bislang bekannten Exploits der Kampagne geschützt. Nutzern wird geraten, verfügbare Updates zeitnah zu installieren und Apps nur aus vertrauenswürdigen Quellen zu laden.

Achtet ihr beim Download von Apps auf Sicherheitsupdates und das Alter eures Smartphones? Teilt eure Erfahrungen und Einschätzungen dazu in den Kommentaren.


Siehe auch: