Android-Malware bespitzelt gezielt Tibet-Aktivisten

Die Malware-Analysten des russischen Security-Unternehmens Kaspersky Lab haben eine Welle zielgerichteter Angriffe auf tibetische und uigurische Aktivisten verzeichnet, die über das Smartphone-Betriebssystem Android läuft. Nachdem der mobile Trojaner über den gehackten Account eines tibetanischen Aktivisten verschickt wurde, hat er private Daten im Visier, die sich auf Smartphones der Zielpersonen befinden. Die Angreifer gingen insgesamt sehr zielgerichtet vor, so die Einschätzung der Experten. Im ersten Schritt wurde der E-Mail-Account eines hochrangigen Tibet-Aktivisten gehackt. In weniger als 20 Stunden versendeten die Angreifer über diesen Account gezielt E-Mails an die dort gespeicherten Kontakte.

Diese Spear-Phishing-Mails enthielten Informationen über Aktivistenkonferenzen, wie den in Genf stattfindenden World Uyghur Congress (WUC) und hatten es auf politische Aktivisten aus der Mongolei, China, Tibet und dem Uigurischen Autonomen Gebiet Xinjiang abgesehen.

Die E-Mails enthielten im Anhang eine Datei im APK-Paketformat für das Android-Betriebssystem, der als Anschreiben im Namen des WUC angekündigt wird. Das APK-Programm führt eine Android-Applikation mit dem Namen "WUC's Conference.apk" aus. Nach der Installation erscheint eine App namens "Conference" auf dem Desktop des infizierten Smartphones. Führt das Opfer die App aus, wird ihm eine Seite mit Informationen zur WUC-Konferenz in Genf angezeigt.

Während das Opfer diese liest, gibt das Schadprogramm heimlich die erfolgreiche Infektion an einen Command-and-Control-Server weiter. Anschließend beginnt der Schädling auf dem infizierten Gerät private Daten zu stehlen, darunter Kontaktdaten von Telefon- und SIM-Karte, Informationen über den Telefonverlauf, SMS-Nachrichten, Standortdaten sowie Telefondaten wie die Nummer oder das genutzte Betriebssystem.

"Wir haben bisher noch keine zielgerichteten Angriffe auf mobile Geräte in freier Wildbahn gesehen, gleichwohl gab es Anzeichen dafür, dass Angreifer in diesem Bereich experimentieren", erläuterte Costin Raiu, Director Leiter des Analyse-Teams bei Kaspersky Lab. "Diese spezielle Attacke nutzt einen vollwertigen Trojaner, der es auf private Daten einer genau bestimmten Zielgruppe abgesehen hat."

Die Angreifer nutzten im aktuellen Fall noch Social-Engineering-Techniken, um die Opfer dazu zu bringen, dass sie die App installieren. Bei Kaspersky erwartet man aber, dass in Zukunft derartige Attacken auch Schwachstellen in mobiler Software ausnutzen oder eine Kombination von verschiedenen Methoden verwenden werden, um dem Nutzer möglichst gar nicht mehr aufzufallen.