Bisher ausgefeiltester Android-Trojaner entdeckt

Das russische Security-Unternehmen Kaspersky Lab will eine der derzeit komplexesten Malwares im Mobile-Bereich gefunden haben. Der Android-Trojaner wird als Obad.a bezeichnet. Das Schadprogramm sei auch deswegen bisher recht einzigartig, da es nicht nur anspruchsvoll aufgebaut ist, sondern auch eine Reihe von unveröffentlichten Schwachstellen ausnutzt, teilte Kaspersky nach einer Analyse mit. Die mobile Malware erinnere daher mehr an aktuelle Windows-Malware als an derzeit eingesetzte mobile Schädlinge.

Ist der mobile Trojaner auf einem Smartphone installiert, kann er mehrere Funktionen ausüben, wie zum Beispiel den SMS-Versand an Premiumnummern, Download und Installation weiterer Malware auf dem infizierten Gerät sowie das Weiterleiten dieser Schädlinge via Bluetooth. Darüber hinaus steht der Obad.a mit dem Command-and-Control-Server (C&C) Androfox.com in Verbindung und kann dadurch Geräteinformationen und Nutzerdaten stehlen sowie aus der Ferne Befehle entgegen nehmen.

Die Malware-Entwickler nutzten Fehler in der Software DEX2JAR sowie im Android-Betriebssystem, um die Entdeckung des Trojaners zu erschweren. Obad.a besitzt kein Interface und agiert im Hintergrund. Die bei der Malware verwendeten Zeichenketten sind außerdem verschlüsselt. Bei Programmstart wird eine weitere Dechiffrierungsroutine gestartet. Dies erschwere eine dynamische Analyse erheblich, hieß es.

Der Trojaner nutzt eine Zero-Day-Schwachstelle in Android, um an die Administratorenrechte zu gelangen. Damit kann Obad.a nicht mehr vom Gerät gelöscht werden. Steht eine Bluetooth-Verbindung zur Verfügung, kann der Trojaner sich selbst und weitere Schadprogramme auf andere Geräte kopieren, die sich in der Nähe befinden.

Geht die Malware ihrer Hauptaufgabe, dem Sammeln von Informationen nach, schickt sie MAC-Adresse des Bluetooth-Geräts, den Namen des Betreibers, die Telefonnummer, die IMEI-Nummer, das Konto-Guthaben des Nutzers und die Ortszeit an den C&C-Server. Zudem verschickt der Trojaner die Information, ob Administratorenrechte erfolgreich erlangt werden konnten.

Durch die Verbindung mit einem C&C-Server kann der Trojaner daneben Textnachrichten versenden, Remote-Shell-Befehle ausführen, als Proxy agieren, Verbindungen mit bestimmten Adressen aufbauen, Dateien vom Server herunterladen und installieren, eine Liste der verwendeten Applikationen und Nutzerkontaktdaten an den Server sowie Dateien an alle entdeckten Bluetooth-Geräte schicken.