Mobile-Menu

Malware für Android auf Millionen Endgeräten gefunden IT-Forscher finden Malware in über 90 Apps in Google Play

Von Thomas Joos 2 min Lesedauer

Anbieter zum Thema

PresseBox - unn | UNITED NEWS NETWORK GmbH
FAST LTA GmbH
FTAPI Software GmbH

IT-Forscher bei Zscaler ThreatLabz haben die Anatsa-Malware in über 90 Apps in Google Play entdeckt. Die Apps wurden über 5 Millionen Mal heruntergeladen.

Forscher bei Zscaler finden Malware in zahlreichen Apps im Google Play Store.(Bild: Dall-E / KI-generiert)
Forscher bei Zscaler finden Malware in zahlreichen Apps im Google Play Store.
(Bild: Dall-E / KI-generiert)

Forscher bei Zscaler ThreatLabz hab in Google Play bei über 90 Apps eine Malware-Infizierung mit der Banking-Malware Anatsa/TeaBot gefunden. Die Apps wurden nach den Forschern 5,5 Millionen Mal heruntergeladen. Zscaler ThreatLabz überprüft regelmäßig Google Play Stores auf schadhafte Anwendungen. In den letzten Monaten wurden mehr als 90 bösartige Anwendungen identifiziert und analysiert, die gemeinsam über 5,5 Millionen Installationen verzeichneten. Die Forscher haben mehrere Malware-Familien gefunden, darunter Joker, Adware, Facestealer, Anatsa und Coper. Obwohl Anatsa und Coper nur einen kleinen Anteil von 2 Prozent ausmachen, sind sie bekannt für ihre schwerwiegenden Auswirkungen als Banking-Trojaner.

Anatsa-Malware

Anatsa/TeaBot nutzt Dropper-Anwendungen, die für Nutzer harmlos erscheinen und sie dazu verleiten, die schadhafte Nutzlast zu installieren. Einmal installiert, stiehlt Anatsa sensible Bankdaten und Finanzinformationen durch Overlay- und Accessibility-Techniken, um Daten unauffällig abzufangen und zu sammeln. Täuschungsanwendungen dienen als Loader, welche die Anatsa-Malware auf Android-Geräte laden. Die zweite Stufe der Nutzlast tarnt sich als legitimes Anwendungsupdate und täuscht die Opfer. Anatsa zielt auf über 650 Finanzinstitutionen weltweit ab, wobei Europa im Fokus steht. Aktuell wurden auch Banken in den USA, Großbritannien, Deutschland, Spanien, Finnland, Südkorea und Singapur ins Visier genommen. Der Dropper, der initial harmlos erscheint, lädt die schadhafte Nutzlast von einem Kommando- und Kontrollserver (C2) herunter, getarnt als harmloses Update. Der Angriffsablauf von Anatsa beginnt mit der Installation einer scheinbar legitimen Anwendung. Nach der Installation lädt diese Anwendung die eigentliche Malware von einem C2-Server herunter. Nach erfolgreicher Verifizierung lädt die Malware die endgültige Nutzlast herunter.

Nach dem Laden der APK fordert die Malware verschiedene Berechtigungen an, einschließlich SMS und Accessibility-Optionen, die häufig mit mobilen Banking-Trojanern assoziiert sind. Die endgültige DEX-Nutzlast wird während der Laufzeit unter Verwendung eines statischen Schlüssels innerhalb des Codes entschlüsselt. Anatsa lädt eine Zielliste von Bankanwendungen herunter und scannt das Gerät des Opfers nach diesen Anwendungen. Wird eine Zielanwendung gefunden, täuscht die Malware eine gefälschte Login-Seite vor, die im Webview geladen wird. Diese Seite ist darauf ausgelegt, den Benutzer zur Eingabe seiner Bankdaten zu verleiten, die dann an den C2-Server gesendet werden.

(ID:50056978)

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Weiterführende Inhalte