Forscher von ThreatFabric haben eine neue Schadsoftware für Android namens Hirudo entdeckt, die die Funktionen eines herkömmlichen Banking-Trojaners mit den umfassenden Möglichkeiten eines Fernzugriffstools kombiniert. Die Schadsoftware zielt derzeit auf acht indonesische Banking-Apps ab. Interne Hinweise deuten jedoch darauf hin, dass sie für Angriffe auf Banken in China, Indien, Mexiko, Marokko und Thailand angepasst werden könnte.
Hirudo stiehlt nicht nur Anmeldedaten vom Gerät, sondern ermöglicht dem Angreifer auch, den Bildschirm über WebRTC live zu betrachten, das Telefon mithilfe von Bedienungshilfen zu steuern und auf die vordere sowie die hintere Kamera zuzugreifen. Außerdem sammelt sie SMS-Nachrichten, einschließlich einer anfänglichen Prüfung über einen Zeitraum von 90 Tagen und einer festgelegten Liste von Absendern von Banken und Wallets.
Wie gelangt die Schadsoftware auf das Telefon?
Hirudo wird über einen Dropper verbreitet, der in Anwendungen eingebettet ist, die wie legitime Apps wirken, etwa eine Shopping-App, eine Anwendung zum Ansehen von Videos für Erwachsene oder eine Kurzdrama-App. Die Verbreitung erfolgt über soziale Medien. Nach der Installation prüft der Dropper, ob Hirudo bereits auf dem Gerät vorhanden ist, und installiert die Schadsoftware, falls dies nicht der Fall ist.
Wird eine bestimmte indonesische Banking-App erkannt, zeigt die Schadsoftware eine gefälschte Aktualisierungsaufforderung an. Anschließend entfernt sie die echte App und lädt eine modifizierte Version herunter, die mit der anvisierten Bank verbunden ist. Für den Nutzer sieht es dadurch so aus, als würde er die gewohnte Banking-App verwenden, während die gefälschte Version als Oberfläche für Diebstahl und Kontrolle dient.
Umgehung der Sicherheitsprüfungen innerhalb der App
Die modifizierte Version enthält eine Engine zum Abfangen von App-Aufrufen, die darauf abzielt, Prüfungen der digitalen Signatur, der Bedienungshilfen, der Bildschirmaufzeichnung und von Play Integrity innerhalb der App selbst zu deaktivieren. Nach Angaben der Forscher kann die Engine das von Android angeforderte Signaturzertifikat durch das ursprüngliche Zertifikat ersetzen und die Testsignatur verbergen. Außerdem gibt sie bei der Abfrage von Bedienungshilfen eine leere Liste zurück, wodurch der Dienst des Angreifers für die Prüfung unsichtbar wird.
Die Bedeutung dieses Ansatzes liegt darin, dass die Auseinandersetzung von Geräteprüfungen auf die Integritätsmechanismen innerhalb der ersetzten App selbst verlagert wird. Daher können die von einer ersetzten App erzeugten Signale allein nicht als vertrauenswürdig betrachtet werden. Zudem könnte die Wiederverwendbarkeit der Engine die Ausrichtung des Angriffs auf weitere Apps und Regionen erleichtern.
Was sollten Finanzinstitute überprüfen?
- Play Integrity überprüfen und die Ergebnisse serverseitig durchsetzen, ohne ein korrektes Ergebnis allein als ausreichenden Beleg zu betrachten, da Hirudo Verifizierungsanfragen über ihren eigenen Server weiterleiten kann.
- Mehrschichtige Verhaltensanalysen einsetzen, um betrügerische Muster zu erkennen, und das Fehlen von Verhaltensdaten als prüfungswürdiges Signal behandeln.
- Signale zu Bedienungshilfen und Bildschirmaufzeichnung als unterstützende Hinweise und nicht als alleinige Sperrbedingungen betrachten und in die Risikoberechnung einbeziehen.
- Transaktionsrisikokontrollen bei der Anmeldung, der Wiederherstellung von Zugangsdaten, der Erstellung von Zahlungsempfängern und der Zahlungsfreigabe beibehalten, da ein lokal gefälschtes Ergebnis die serverseitige Entscheidung nicht ersetzen kann.
Die praktische Warnung für Institutionen lautet, dass die Abhängigkeit von einer einzigen Prüfung innerhalb der App nicht mehr ausreicht, wenn die Schadsoftware die App selbst ersetzen und Kontrollkomponenten verbergen kann. Einzelheiten zu den Betreibern von Hirudo und zum Umfang der Infektionen werden im Ausgangsmaterial weiterhin nicht genannt, was die Einschätzung des tatsächlichen Umfangs der Kampagne begrenzt.