Wer im Banking eine PIN eintippt, geht davon aus, dass die Zifferntastatur auf dem Bildschirm auch zur Bank-App gehört. Eine neue Android-Malware macht genau diese Annahme zum Einfallstor.
Das niederländische Sicherheitsunternehmen ThreatFabric beschreibt sie unter dem Namen Manic und zählt 169 überwachte App-Kennungen, von Banken über staatliche Ausweisdienste bis zu Krypto-Wallets, Authenticator-Apps und Messengern. „Manic bewegt sich an der Schnittstelle von Android-Banking-Malware und mobiler Spyware“, schreiben die Forscher.
PIN-Diebstahl ohne gefälschte Bankoberfläche
Der übliche Trick von Banking-Trojanern ist ein Fake-Fenster, das die echte App überdeckt. Manic macht es anders. Die Malware legt ein Overlay über genau die Fläche der Zifferntasten und protokolliert, wohin ihr tippt. Danach schaltet sie die Berührungserfassung kurz ab und spielt denselben Tipp über die Bedienungshilfen an derselben Stelle erneut ein. Eine nachgebaute Bankoberfläche bekommt ihr nie zu sehen, die Überweisung läuft normal durch.
SmartDroid.de bei Google folgen
Eine zweite Funktion zielt auf den Sperrbildschirm und versucht, gespeicherte Zugangsdaten oder ein Muster selbst einzugeben. Der Mitschnitt läuft über die Bedienungshilfen als Keylogger, der erfasste Eingaben vorsortiert, etwa in Sperrcodes, Passwörter, vier- bis sechsstellige SMS-Codes und mögliche Wiederherstellungsphrasen von Wallets.
Fernsteuerung hinter schwarzem Bildschirm
Darüber hinaus ist Manic eine Fernwartungssoftware für Kriminelle. Per WebRTC startet der Betreiber eine Live-Sitzung, sieht den Bildschirm oder die Frontkamera und bedient das Gerät. Schwarze Bildschirme, nachgebaute Oberflächen und angebliche Update-Hinweise verdecken, was dabei passiert, auch die Berechtigungsdialoge im Hintergrund.
Die Befehlsliste reicht von SMS, Anrufliste, Kontakten und Standort über Dateiexporte bis zum Versuch, Google Play Protect per Oberflächenautomatisierung abzuschalten. Alle 10 bis 15 Minuten meldet sich der Schädling beim Kontrollserver. Die Juli-Version entfernt zudem das Symbol aus dem App-Drawer und lässt sich nur noch über die Träger-App oder einen Deep Link starten.
Infizierte Handys in der Nähe als Datenschleuse
Neben dem PIN-Mitschnitt hebt ThreatFabric vor allem den Weg nach draußen hervor. Erreicht ein befallenes Gerät den Kontrollserver nicht, verschlüsselt Manic die Daten, legt sie in eine Warteschlange und sucht nach anderen infizierten Geräten in Funkreichweite.
Dafür nutzt die Malware drei Kanäle: Wi-Fi Direct baut eine direkte WLAN-Verbindung zwischen zwei Geräten ohne Router auf, Bluetooth RFCOMM überträgt Daten wie über eine serielle Kabelverbindung, und BLE ist die stromsparende Bluetooth-Variante, über die sonst Kopfhörer oder Fitnesstracker kleine Datenmengen austauschen. Findet sich ein Gerät mit Internetzugang, wandert das Paket standardmäßig über bis zu vier Zwischenstationen dorthin.
Wie groß das Risiko hierzulande ist
Der Schwerpunkt liegt klar auf der Ukraine. Auf der Zielliste stehen aber auch Banking-Apps aus Deutschland, Österreich, Polen, Frankreich, Spanien, den Niederlanden und Großbritannien sowie staatliche eID-Apps. Dass Banking-Malware und Spyware zusammenwachsen, ist dabei kein Einzelfall, sondern der Trend der vergangenen Jahre.
Verbreitet wird Manic laut ThreatFabric über Phishing-Seiten und Dropper-Apps, die sich als Werkzeuge tarnen. Das Risiko hängt damit am Sideloading, und genau dort will Google ab September die Identität aller Android-Entwickler prüfen. Bis dahin bleibt der wirksamste Schutz simpel: Installiert Apps aus offiziellen Quellen und gebt keiner unbekannten App Zugriff auf die Bedienungshilfen.
via Notebookcheck
