Hohoho: Android- und iOS-Malware kommt im Weihnachtsmann-Kostüm

Das kleine indische Sicherheits-Startup CloudSek macht derzeit mit einer Warnung von sich reden: Sein Team habe einen als Weihnachtsmann-App getarnten Trojaner im Google App Store und im iOS Store entdeckt, so Sicherheitsforscher Rahul Sasi. Es soll sich bei der dahinterstehenden Cyberattacke um einen Advanced Persistent Threat (APT) handeln, dessen Spuren CloudSek bereits von Desktop-Systemen her kennt. So ist das Team dem "Malware Santa Claus" auch erst auf die Schliche gekommen. CloudSek beobachtete laut eigene Angaben bereits seit längerer Zeit eine noch unbekannte Hacker-Gruppe, die sich auf die Ausspähung von Software-Firmen die auf Air Gap setzen spezialisiert hat. Nun werden aber auch mobile, private Systeme zum Angriffsziel. "Fun with Santa" für iOS und Android haben es auf Smartphone-Nutzer abgesehen. Auch andere Apps von Guddyapps stehen im Verdacht, Trojaner mit einzuschleusen.

"Top Gun" schnüffelt aus Deutschland

Dabei ist derzeit nicht klar, ob die hinter den Apps stehende Entwicklerschmiede Guddyapps selbst etwas mit der Malware zu tun hat, oder ob ihre Anwendungen für einen Angriff gekapert wurden. Sollte das Letztere der Fall sein, könnte es sich um ein größeres Problem in den App Stores handeln. Nachtrag: Google hat bereits gehandelt und nach dem laut gewordenen Verdacht alle Apps des Anbieters aus dem Play Store entfernt.

Die betroffenen Apps bringt CloudSek zumindest in Verbindung mit einem "Top Gun" genannten Command-and-Control-Server, der allerlei Daten auf dem Smartphone ausspioniert: dazu gehören SMS und Kontaktdaten, aber auch Browser-Historie und persönliche Dateien wie Fotos und Videos. Laut Rahul Sasi könne die App aber im Grunde alle Daten vom Smartphone stehlen, schreibt die Nachrichtenseite The Register.

8.000 infizierte Nutzer

Die App fordert hohe Berechtigungen bei der Installation ein, denn das Spielprinzip fordert zum Beispiel den Zugriff auf das Mikrofon an.

Aktuell hat CloudSek rund 8.000 infizierte Nutzer gefunden, von denen der Trojaner schon jetzt eine Reihe an Daten an einen Server in Deutschland senden soll. Über 120 GB an Daten sollen bereits über die mobilen Apps gesammelt worden sein. Das wird bei diesem Advanced Persistent Threat so gefährlich, da das System auch in der Lage sein soll, live mitzuhören. Rahul Sasi hat zudem Hinweise gefunden, dass ein Key-Logger sowie Audio-Mitschnitte angelegt sind, aber derzeit noch keine Daten übertragen. Somit hätten die unbekannten Angreifer Zugriff auf alle wichtigen Daten zum Beispiel für einen Identitätsdiebstahl.

Die Vorwürfe von CloudSek lassen sich derzeit allerdings nur schlecht verifizieren. Die Sicherheitsforscher selbst schreiben, der derzeit beste Schutz vor einem derartigen Advanced Persistent Threat sei es, die Berechtigungen von Apps ganz allgemein deutlich kritischer zu betrachten und nicht jede Anfrage zuzulassen.