Forscher haben eine neue Android-Malware namens Hirudo entdeckt, die Nutzer von Bankdienstleistungen angreift, indem sie originale Banking-Apps auf dem Gerät durch modifizierte Versionen ersetzt. Laut einem Bericht des Unternehmens für mobile Sicherheit ThreatFabric verwendet die Malware eine Engine zum Einschleusen von Code, um Prüfungen von App-Signaturen, Bedienungshilfen und Play Integrity zu umgehen.
Es wurden schädliche Versionen von acht Banking-Apps entdeckt, darunter Apps von mindestens sieben indonesischen Banken. Die Kampagne zielte außerdem auf Finanzinstitute in China, Indien, Mexiko, Marokko und Thailand ab, während die Zahl der Opfer weiterhin unbekannt ist.
Wie gelangt Hirudo auf die Geräte?
Die Malware gelangt gewöhnlich über Apps auf die Geräte, die normal erscheinen und Funktionen für Shopping oder Unterhaltungsinhalte anbieten, etwa Shopora, 1V1 X, ZoyaTV und KoiShort. Diese Apps fungieren als Downloader für die Malware und zeigen anschließend eine gefälschte Update-Benachrichtigung an, die den Nutzer dazu führt, ihnen zusätzliche Berechtigungen zu erteilen, darunter die Berechtigung für Accessibility.
Nach der Aktivierung der Berechtigung beginnt die schädliche App, die echte Banking-App zu entfernen, anschließend eine modifizierte Version herunterzuladen und deren Installation zu versuchen. ThreatFabric beschreibt den Vorgang als riskant für den Angreifer, da der Nutzer ihn in zwei Phasen unterbrechen kann.
Schutzmechanismen werden zu einem Umgehungswerkzeug
Die modifizierte Version behält den Großteil des ursprünglichen Codes der Banking-App bei, fügt jedoch eine Engine hinzu, die auf den Open-Source-Frameworks YAHFA und Dobby basiert. Die Engine arbeitet innerhalb desselben Prozesses wie die Banking-App und kann dadurch die Ergebnisse der Prüfungen manipulieren, anstatt die App von außen anzugreifen.
- Ersetzen des ursprünglichen Signaturzertifikats, wenn danach gefragt wird.
- Ausblenden aktivierter Accessibility-Dienste.
- Deaktivieren des Schutzes vor Bildschirmaufnahmen, wodurch die Anzeige und Aufzeichnung aus der Ferne ermöglicht werden.
- Ändern der mit den Schlüsseln verbundenen Attestierungszertifikate und Weiterleiten von Play-Integrity-Anfragen über einen von den Betreibern kontrollierten Server.
Was können die Angreifer stehlen?
Hirudo kann Passwörter für Bankkonten, geheime Zahlungscodes, Geheimnisse zum Entsperren des Geräts und SMS-Nachrichten stehlen sowie den Bildschirm des Telefons übertragen und beide Kameras steuern. Außerdem verwendet die Malware gefälschte Zahlungsseiten, um Zahlungscodes zu sammeln, und zeigt anschließend ein gefälschtes Erfolgsergebnis an, um den Datendiebstahl zu verbergen.
ThreatFabric fand Tausende Datensätze mit Zugangsdaten für Apps in einem ungesicherten Backend-Panel sowie Gerätedaten, Sperrbildschirme und Finanzdateien. Der Bericht gibt nicht an, ob diese Daten zu allen Opfern oder nur zu einem Teil von ihnen gehören.
Welche Einschränkungen gibt es und was sollte man tun?
Die Umgehungsmethoden funktionieren nicht ohne Einschränkungen. Der eingebettete Attestierungsschlüssel könnte öffentlich bekannt geworden sein. Außerdem hat Google zwei seiner Zertifikate in die Liste der kompromittierten Zertifikate aufgenommen, wodurch Server Fälschungsversuche erkennen können, wenn sie serverseitige Prüfungen auf Zertifikatswiderruf durchführen.
ThreatFabric ist der Ansicht, dass Hirudo eine Eskalation bei den Methoden von Banking-Trojanern auf Android darstellt, da sie die Schutzmechanismen innerhalb der Apps selbst angreift. Das Unternehmen empfiehlt Banken, Integritäts- und Attestierungsprüfungen auf dem Server durchzuführen, die Prüfungen an Sitzungen und sensible Vorgänge zu binden und Verhaltens- sowie Transaktionsrisikokontrollen beizubehalten.
Nutzern wird empfohlen, ihre Geräte zu aktualisieren, APK-Dateien aus inoffiziellen Stores zu vermeiden und regelmäßig Prüfungen mit Play Protect durchzuführen.