Banken-Trojaner tauchen immer wieder im Google Play Store auf

Malware-Entwickler testen die Wachsamkeit von Android-Usern aufs Neue. Schon wieder sind im Google Play Store getarnte Banken-Trojaner aufgetaucht. Erst kürzlich haben wir 29 davon analysiert. Alle stammen aus einem Zeitraum zwischen August bis Anfang Oktober 2018. Die Banken-Trojaner tarnen sich als Geräte-Optimierer, Batterie-Manager oder als Horoskop-Apps.

Im Gegensatz zu den immer häufiger vorkommenden bösartigen Apps, die legitime Finanzinstitute nachahmen und gefälschte Eingabemasken zeigen, gehören die von uns neu entdeckten Banken-Trojaner zu einer etwas höher entwickelten Spezies. Diese mobile Banking-Trojaner warten mit komplexeren Funktionen auf und ihr Tarnmechanismus spielt eine viel größere Rolle.

Die ferngesteuerten Trojaner sind in der Lage, Apps auf dem Gerät des Opfers anzugreifen und maßgeschneiderte Phishing-Formulare zu erstellen. Davon abgesehen können sie SMS-Textnachrichten abfangen und umleiten, um eine Zwei-Faktor-Authentifizierung zu umgehen. Auch Anrufprotokolle können mitgelesen und zusätzliche Apps auf dem Gerät installiert werden.

Die schädlichen Apps wurden meist unter verschiedenen Entwicklernamen hochgeladen, aber Code-Ähnlichkeiten und ein gemeinsamer C&C-Server deuten darauf hin, dass die Trojaner-Apps das kriminelle Werk eines einzelnen Angreifers bzw. einer Gruppe sind.

Abbildung 1: Beispiele für die bei Google Play gefundenen Banking-Trojaner

Die 29 bösartigen Apps wurden aus dem offiziellen Android-Store entfernt, nachdem ESET und Verbündete die Verantwortlichen bei Google darauf hinwiesen. Bevor die Banken-Trojaner allerdings aus dem Verkehr gezogen werden konnten, installierten rund 30.000 Android-User die Schad-Apps.

Abbildung 2: Eine falsche Fehlermeldung, die von einem der Trojaner beim Start angezeigt wird

Wie funktionieren die Banken-Trojaner?

Entweder zeigen die Trojaner-Apps nach dem Start eine Fehlermeldung an – Inkompatibilität mit dem Android-Gerät – worauf sie dann im Hintergrund verschwinden oder die Anwendungen erfüllen die angepriesene Funktionalität.

Alle 29 Trojaner-Apps tragen die verschlüsselte Payload in sich – unabhängig davon, was sie nach dem ersten Öffnen anzeigen. Die Nutzlast ist Base64 kodiert und dann mit Hilfe der RC4-Verschlüsselungsmethode und einem festkodierten Schlüssel verschlüsselt. Die erste Stufe der Malware-Aktivität ist ein Dropper, der zunächst nach einem Emulator oder einer Sandbox sucht. Ist das Resultat negativ, entschlüsselt und entpackt der Banken-Trojaner einen Loader und die Payload. Diese Nutzlast enthält die eigentliche Banking-Malware. Einige der analysierten Apps enthielten auch mehr als eine Stufe verschlüsselter Payload.

Abbildung 3: Malware-Funktion zum Erkennen eines Android-Emulators

Letztendlich versucht die Malware eine auf dem Android-Gerät installierte Banking-App zu imitieren, eingehende SMS-Nachrichten abzufangen oder Nachrichten selbst zu versenden sowie zusätzliche Apps herunterzuladen und zu installieren.

Ein erstaunliches Feature ist das dynamische Nachahmen jeder auf dem kompromittierten Gerät installierten Anwendung. Der Banken-Trojaner ist in der Lage, HTML-Code einer bereits installierten App aufzurufen und so für sich anzupassen, dass beispielsweise Formularfelder mit eigenem Schadcode überdeckt werden. Das Opfer besitzt kaum eine Chance, die Kompromittierung aufzuspüren.

Wie schütze ich mich vor Banken-Trojanern?

Glücklicherweise besitzen die von uns analysierten Banken-Trojaner keine ausgefeilten Persistenz-Mechanismen, sodass sie recht einfach vom Android- Gerät zu entfernen sind. Wer glaubt, einer der Apps zum Opfer gefallen zu sein, kann sie über die Einstellungen im Anwendungsmanager deinstallieren und löschen.

Wir empfehlen darüber hinaus die Umsatzübersicht des Bankkontos zu überprüfen sowie das Online-Banking Passwort bzw. den PIN zu ändern.

Ein besonderer Dank geht an Nikolaos Chrysaidos, der die ESET-Forscher auf die Bedrohung hinwies.

Indicators of Compromise (IoCs)