Trojaner Android Erkennen

Die Vorfälle spiegeln die Anstrengungen von Google zum Schutz seiner Benutzer nicht wider, denn es ist der Trojaner BankingBot, den das auf dem Online-Marktplatz tätige Untenehmen zum dritten Mal aus dem Verkehr ziehen musste. Das Programm BankingBot wurde speziell für den Diebstahl von Login-Daten für Online-Banking und Zahlungsdaten konzipiert. Die Trojaner bedienen sich einer simplen und erprobten Methode: Sie zeigen über ein Infofenster eine falsche Login-Seite an, die kaum oder gar nicht von der Bankverbindung eines Betroffenen zu unterschieden ist.

Weil die Malware in der Regel eine große Anzahl von Bankanwendungen von Finanzinstituten und Fremdanbietern erkennen kann, kann sie ihre Phishing-Angriffe sehr spezifisch an die jeweilige Anwendung und Datenbank der Opfer ausrichten. Sogar eine zweifache Authentifizierung per SMS ist für den BankBot keine Selbstverständlichkeit. Der Trojaner beobachtet in diesem Falle den SMS-Eingang und stellt seinen Geldgebern alle wichtigen Daten zur Verfügung.

Im Play Shop wurde die derzeitige Version von BankBot von Wissenschaftlern des Sicherheitsproviders RiskIQ gefunden. Es ist in einer Anwendung namens "Crypto Currencies Market Prices" verborgen, die die Benutzer über die aktuellen Kurse für Krypto-Währungen wie z. B. bitcoin mitteilt. Im Play-Shop für die Anwendung ist im Play-Provider auch ein " Verifiziert durch Play Protect " Logo zu sehen, das vorgetäuscht wurde.

Auch bei der Betrachtung der vorliegenden Version soll gezeigt werden, dass die Geldgeber den Trojaner ständig weiter entwickelt haben. In der Zwischenzeit wurde die infizierte Anwendung aus dem Sortiment des Playstores ausgelöscht. Apples und Googles Apple und Googles Apple und Google-Apps Marktplätze sind ein populäres Angriffsziel für Cyberkriminelle.

Trojaner von Android Banking im Google Play Store wiederaufgenommen

Der Banking-Trojaner Banknoten-Bot wurde mehrfach dem Google Play Store hinzugefügt. Es breitete sich über Jewels Star Classic aus. Das Android Banking Trojan, über das wir zu Beginn dieses Jahr berichtet haben, hat seinen Weg zurück in den Google Play Store zurückgefunden - aber dieses Mal ist es noch mehr (un)geheim. Die Weiterentwicklung des Trojaners BankingBot Banking erfolgte im Verlauf des Jahrs 2017.

Inzwischen gibt es sowohl außen als auch innen im Googleshop unterschiedliche Version. Wir haben die neueste Version, die wir am vierten Quartal 2017 im Googles Play Store entdeckt haben, als erste mit Erfolg kombiniert: verbesserter Quellcode, ausgefeiltere Payload-Drop-Funktionalität und ein raffinierterer Kompromissmechanismus, der die Hilfe von Android in Anspruch nimmt.

Die Misshandlung des Android Accessibility Service wurde bereits bei vielen anderen trojanischen Pferden festgestellt, aber meist außerhalb des Googles Play Store. Jüngste Untersuchungen von SergeyLabs und der Firma G. A. G. C yberkriminelle haben es geschafft, eine Anwendung mit der Hilfe-Missbrauchsfunktion ohne Banking-Nutzlast von Malware in den Googles Play Store zu laden. Dann gelangte der "komplette Trojaner" (mit bösartiger Bankenmalware) unter dem Titel Jewels Star Classic in den Suchmaschinen.

Inwiefern funktioniert die Applikation mit dem Banking-Trojaner? Lädt der arglose Nutzer Juwelen Stern Klassik vom Hersteller GameDevTony herunter (Abb. 1), erhälst er ein lauffähiges Android-Spiel, aber der Nutzer hat auch ein unerfreuliches Extra. Abb. 1 - Die bösartige Applikation, die bei Google Play aufgedeckt wurde. Erst zwanzig Autominuten nach der Installierung des falschen Juwelen-Sterns Classic wird die Boshaftigkeit der Applikation deutlich.

Bei dem betroffenen Endgerät wird eine Nachricht mit der Bezeichnung "Google Service" angezeigt. Wenn der Android-Benutzer die Nachricht mit "OK" quittiert (die einzige Möglichkeit, die Nachricht zu verbergen), wird er sofort in das Android-Hilfemenü weitergeleitet. Zusätzlich zu den legalen Einstellungen wird nun der von der Schadsoftware erstellte Service "Google Service" angezeigt.

Durch Anklicken von "OK" erhält die Schadsoftware umfassende Zugriffsoptionen. Die Auftragsbestätigung gibt dem Banking-Trojaner eine nahezu kostenlose Übergabe der Ausführung von Schadenersatz. Unmittelbar danach wird dem Nutzer der Zugriff auf seinen Computerbildschirm durch ein "Google Service Update" vorenthalten. Selbstverständlich hat dieses Aktualisierung nichts mit dem Thema Googles zu tun (Abb. 6).

Der Schadprogramm zeigt nur die vermeintliche Statusmeldung des Updates an, um die weiteren Arbeitsschritte auszublenden. Obwohl der Benutzer keine andere Wahl hat, als zu zögern, werden folgende Vorgänge im Hintergund ausgeführt: Sobald diese Vorgänge abgeschlossen sind, geht die Schadsoftware zum folgenden Zweck über: dem Diebstahl der Kreditkartendaten des gefährdeten Benutzers.

Anders als andere BankBot-Varianten, die darauf abzielen, Login-Informationen einer ganzen Serie von spezifischen Bankanwendungen auszutricksen, fokussiert sich unsere recherchierte Version nur auf die Google Play Store App. Die Applikation ist nun auf jedem Android-Smartphone vormontiert. Wenn der Nutzer die Google Play Store-Anwendung gestartet hat, greift BankBot ein und deckt den laufenden Screen mit einem Textfeld ab, in dem der Nutzer seine Kartendaten eintragen muss (Abb. 7).

Durch die Festlegung von BankBot als Standard-SMS-Benachrichtigungsanwendung wird die SMS-Kommunikation von dem betroffenen Endgerät abgetastet. Warum ist der Banking Trojaner BankBot so schädlich? Bei dieser Malware-Kampagne verwenden Cyberkriminelle eine Vielzahl von Methoden, die in der Malware-Szene von Android immer beliebter werden. Dazu gehört auch der missbräuchliche Einsatz von Android-Hilfeeinstellungen und die Nachahmung legaler Android-Dienste.

Aufgrund der unterschiedlichen Techniken der Schädlinge ist es für Android-Nutzer schwierig, die Gefahr rechtzeitig zu erkennen. Da die Schadsoftware "Google" imitiert und zwanzig Gehminuten vor dem ersten bösartigen Einblenden des Programms auftritt, ist die Wahrscheinlichkeit, eine Parallele zur Installierung der Fake-App von Juwelenstern Classic (oder einer anderen) zu entdecken, sehr gering.

Dadurch wird die manuellen Erkennung und Entfernung von bösartiger Schadsoftware schwieriger. Inwiefern wird das androide Handy von den BankBots frei? Wenn Sie viele verschiedene Anwendungen aus dem Google Play Store und anderen Orten herunterladen, sollten Sie prüfen, ob Ihr Handy bereits gefährdet ist. Es genügt nicht, das Endgerät nur nach Jewels Star Classic zu suchen, denn die Cyberkriminelle nutzen auch andere Anwendungen, um den Banking Trojan BankBot zu verbreiten.

Gehen Sie wie nachstehend beschrieben vor, um zu prüfen, ob das Android-Smartphone dem Schadprogramm zum Opfer gefallen ist: Wenn es auch nur einen Anhaltspunkt für die Schadsoftware anhand der Hinweise gibt, ist das Android-Smartphone mit hoher Sicherheit mit dem Banking-Trojaner BankaBot angesteckt. Zuerst müssen Sie die Rechte des Geräteadministrators aus "System Update" entfernen, dann "Google Update" und die trojanische Distributions-App (in unserem Falle Jewels Star Classic) entfernen.

Die Identifikation der triggernden Applikation kann natürlich problematisch sein - gerade weil die Schadsoftware ihr gefährliches Vorgehen erst zwanzig Minuten im Anschluss an die Installierung enthüllt und die heruntergeladene Applikation sonst wie gewohnt funktionier. Zur Erkennung solcher Bedrohungen empfiehlt sich die Nutzung einer verlässlichen mobilen Security-Lösung für Android-Smartphones. ESET Sicherheitsprodukte erkennen und sperren die BankBot-Variante als Android/Spy.Banker.

Zusätzlich zu einer verlässlichen Lösung für mobile Endgeräte gibt es noch andere Möglichkeiten, sich vor solcher Schadsoftware zu schützen: Wann immer möglich, sollte der amtliche Anwendungsspeicher genutzt werden. Auch wenn selbst der Google Play Store keine vollständige Absicherung anbietet, ist der Maßstab mit seinen ausgeklügelten Sicherheitsmerkmalen allen herkömmlichen Apple Stores weit voraus.

Anwendungen, die intrusiv hohe Zugriffsrechte erfordern, sollten mit Bedacht behandelt werden. Bei was handelt es sich um BankBot? BankBot, das erstmals am 16. November 2017 von ESET anerkannt und erstmals von Dr. Web untersucht wurde, ist ein fernüberwachtes Android Banking Trojan, das in der Regel in der Rolle eines Falschformulars in einer Reihe von Anwendungen Bankinformationen erhält.

Nach der Aufdeckung von mit dem BankBot-Banking-Trojaner infizierten Applikationen im Google Play Store im Frühjahr 2017 haben wir bestätigt, dass die bösartigen Applikationen mit einem im Dezember 2016 unterirdisch freigegebenen Source-Code verknüpft wurden. Durch die allgemeine Zugänglichkeit des Kodes hat sich sowohl die Zahl als auch die Komplexität der Mobile Banking Trojaner erhöht.