Android-Trojaner Skygofree

Kaspersky Lab entdeckt möglichen Staatstrojaner

| Redakteur: Peter Schmitz

Skygofree scheint ein sehr fortschrittlicher Trojaner zu sein. Laut Kaspersky Lab verfügt die Spionagesoftware über verschiedene Angriffs- und Überwachungsmodule.
Skygofree scheint ein sehr fortschrittlicher Trojaner zu sein. Laut Kaspersky Lab verfügt die Spionagesoftware über verschiedene Angriffs- und Überwachungsmodule. (Bild: Kaspersky Lab)

Experten von Kaspersky Lab haben mit „Skygofree“ eine sehr fortschrittliche mobile Spionagesoftware entdeckt. Die Android-Malware wurde für zielgerichtete Cyberüberwachung entwickelt und vielleicht auch für offensive Cyberoperationen. Die Forscher glauben, dass hinter der Skygofree-Malware ein italienisches IT-Unternehmen steckt, das Überwachungslösungen anbietet, ähnlich wie HackingTeam.

Skygofree ist eine hochentwickelte, mehrstufige Spyware, die Angreifern die vollständige Fernsteuerung eines infizierten Geräts ermöglicht. Zu den fortschrittlichen Funktionen der Malware zählt beispielsweise die Möglichkeit, standortbasierte Audioaufnahmen über infizierte Geräte zu machen. Die Spyware wird über Internetseiten, die Seiten führender Mobilfunknetzbetreiber imitieren sollen, verbreitet.

Das Spionageprogramm wurde kontinuierlich weiterentwickelt, seit die erste Version Ende des Jahres 2014 erstellt wurde und nun die Möglichkeit bietet, umliegende Gespräche und Geräusche zu belauschen, wenn ein infiziertes Gerät an einen bestimmten Ort gelangt. Weitere fortschrittliche Funktionen sind die Verwendung von Zugangsdiensten zum Diebstahl von WhatsApp-Nachrichten und die Möglichkeit, ein infiziertes Gerät mit von den Angreifern kontrollierten WLAN-Netzwerken zu verbinden.

Die Malware verfügt über mehrere Exploits für den Root-Zugriff und ist auch in der Lage, Bilder und Videos aufzunehmen sowie Anruferlisten, SMS-Nachrichten, Standortlokalisierung, Kalenderereignisse und geschäftsbezogene Informationen, die sich im Gerätespeicher befinden, zu erfassen. Eine Besonderheit ist zudem, dass der Schädling den bei führenden Geräteherstellern eingebauten Batteriesparmodus umgehen kann: Die Spionagesoftware fügt sich automatisch in die Liste der ,geschützten Apps‘ ein, so dass es bei ausgeschaltetem Bildschirm nicht automatisch beendet wird und weiterlaufen kann. Die Kaspersky-Experten fanden 48 verschiedene Befehle, die von Angreifern implementiert werden können, was ihnen maximale Flexibilität ermöglicht.

In erster Linie zielt Skygofree auf Android ab. Die Angreifer scheinen allerdings auch ein Interesse an Windows-Nutzern zu haben. So fanden die Experten von Kaspersky Lab eine Reihe kürzlich für Windows entwickelter Module.

Ursprung von Skygofree liegt wahrscheinlich in Italien

Die meisten für die Verbreitung des Trojaners verwendeten gefälschten Landingpages wurden im Jahr 2015 registriert, als laut den telemetrischen Daten von Kaspersky Lab die Verbreitungskampagne am aktivsten war. Die Kampagne ist noch aktiv, die letzte Domain wurde im Oktober 2017 registriert. Laut den Daten von Kaspersky Lab gab es bis heute mehrere Opfer in Italien.

„Fortschrittliche mobile Malware ist sehr schwer zu identifizieren und zu blockieren; das haben die Entwickler von Skygofree eindeutig zu ihrem Vorteil genutzt, indem sie einen Trojaner erschaffen und entwickelt haben, der Ziele intensiv ausspionieren kann, ohne Verdacht zu erregen“, sagt Alexey Firsh, Malware Analyst, Targeted Attacks Research, bei Kaspersky Lab. „Angesichts der Artefakte, die wir im Malware-Code und bei unserer Analyse der Infrastruktur entdeckt haben, gehen wir stark davon aus, dass sich hinter dem Entwickler der Skygofree-Malware ein italienisches IT-Unternehmen verbirgt, das Überwachungslösungen anbietet, ähnlich wie das HackingTeam.“

Kaspersky Lab entdeckt die Versionen von Skygofree für Android unter der Bezeichnung ,HEUR:Trojan.AndroidOS.Skygofree.a‘ und ‚HEUR:Trojan.AndroidOS.Skygofree.b‘ sowie die Windows-Samples unter ,UDS:DangerousObject.Multi.Generic‘.

Kommentare werden geladen....

Kommentar zu diesem Artikel

Anonym mitdiskutieren oder einloggen Anmelden

Avatar
  1. Avatar
    Avatar
    Bearbeitet von am
    Bearbeitet von am
    1. Avatar
      Avatar
      Bearbeitet von am
      Bearbeitet von am

Kommentare werden geladen....

Kommentar melden

Melden Sie diesen Kommentar, wenn dieser nicht den Richtlinien entspricht.

Kommentar Freigeben

Der untenstehende Text wird an den Kommentator gesendet, falls dieser eine Email-hinterlegt hat.

Freigabe entfernen

Der untenstehende Text wird an den Kommentator gesendet, falls dieser eine Email-hinterlegt hat.

copyright

Dieser Beitrag ist urheberrechtlich geschützt. Sie wollen ihn für Ihre Zwecke verwenden? Infos finden Sie unter www.mycontentfactory.de (ID: 45092920 / Malware)