von Redaktion IT-A…
Lesezeit
1 Minute
Android-Malware per SMS und Google Play
Die Experten der Bitdefender Labs beobachten seit Dezember 2021 neue Varianten der Banking-Trojaner FluBot und TeaBot, die es zum Teil auch in Google Play geschafft haben. Dabei seien während dieser Zeit mehr als 100.000 bösartige SMS registriert worden. Ein Schwerpunkt der Angriffe im Dezember war Deutschland.
Die Banking-Trojaner wie FluBot, TeaBot oder die betrügerische SMS mit dem lockenden Betreff "Bist das du in dem Video?" sind laut Bitdefender [1] Beispiele langfristiger Phishing-Kampagnen, due die kriminellen Betreiber periodisch immer wieder neu ausspielen. Das Ziel sei dabei immer das gleiche: Es geht darum, Informationen über Online-Banking, SMS-, Kontakt- oder auch andere private Daten von infizierten Geräten auszulesen.
Dazu bieten die Malware-Arten ein Arsenal von Kommandos. Dank ihnen veranlassen die Hacker ganz einfach den Versand verschiedener Inhalte als SMS durch einen Command-and-Control-Server. Die Host-Domänen des Droppers bleiben dabei gleich. Dadurch könnten die Cyber-Kriminellen flexibel nacheinander Kunden verschiedener Banken angreifen und Inhalte sowie Funktionalitäten anpassen.
Verschiedene FluBot-Köder
Hauptinhalt der bösartigen SMS, die die Urheber mit der FluBot-Malware verbreiten, sind mit 51,85 Prozent vermeintliche Nachrichten von Paketdiensten, gefolgt von einem Betreff mit der Frage: "Bis das Du auf dem Video?" (25,03 Prozent). Dieses bekannte, bisher über den Facebook-Messenger ausgeführte Phishing wurde nun Teil einer FluBot-Phishing-Kampagne. Die Opfer erhalten zuerst eine SMS mit dem Betreff. Um das Video anschließend sehen zu können, werden sie dazu aufgefordert, ein vermeintliches Flash- oder Betriebssystem-Update zu installieren und erhalten stattdessen den Banking-Trojaner.
Weniger verbreitet sind falsche Browser Updates, Sprachnachrichten und Updates von Betriebssystemen. Nachgebaute Apps (auch falsche Antivirus-Apps) oder auch Erwachseneninhalte sind seltener ein Aufhänger für FluBot. Auffällig: Corona-Inhalte spielen aktuell keine Rolle mit nur 0,09 Prozent.
Wechselnde Versandgebiete
Die FluBot-Operateure wechseln laut Bitdefender ihre Zielgebiete in kürzester Zeit – häufig bereits nach wenigen Tagen. Im Dezember war neben Australien die Kampagne auch in Deutschland (Platz 2 mit 32,23 Prozent), Spanien, Italien und anderen europäischen Ländern aktiv. Seit Januar verlagere sich der Schwerpunkt zunehmend auf Polen, die Niederlande und Rumänien. Insgesamt bleibe Deutschland, trotz des Rückgangs, aber in den vergangenen zwei Monaten auf Platz zwei der Verbreitungsgebiete mit einem Anteil von 17,91 Prozent.
Auch im Play Store aktiv
Die Bitdefender Labs beobachten dabei anhand ihrer Telemetrie-Daten auch, wie über Google Play eine bösartige "QR Code Reader-Scanner App" mehr als 100.000 mal innerhalb eines Monats in 17 verschiedenen Varianten heruntergeladen wurde. Dabei handelt es sich höchstwahrscheinlich um einen hochverschlüsselten TeaBot Dropper.
Die TeaBot-Attacke zeichne sich dadurch aus, vermeintlich nützliche Apps im Google Play Store anzubieten. Alternativ tarne sie sich als falsche Version beliebter Apps, um dann beim Download als Dropper die Malware zu installieren. Die QR-Scanner-App verbreite sich vor allem in Großbritannien, und sogar auch über Google Ads.
dr
[1] https://bitdefender.com/blog/labs/new-flubot-and-teabot-global-malware-campaigns-discovered
Dazu bieten die Malware-Arten ein Arsenal von Kommandos. Dank ihnen veranlassen die Hacker ganz einfach den Versand verschiedener Inhalte als SMS durch einen Command-and-Control-Server. Die Host-Domänen des Droppers bleiben dabei gleich. Dadurch könnten die Cyber-Kriminellen flexibel nacheinander Kunden verschiedener Banken angreifen und Inhalte sowie Funktionalitäten anpassen.
Verschiedene FluBot-Köder
Hauptinhalt der bösartigen SMS, die die Urheber mit der FluBot-Malware verbreiten, sind mit 51,85 Prozent vermeintliche Nachrichten von Paketdiensten, gefolgt von einem Betreff mit der Frage: "Bis das Du auf dem Video?" (25,03 Prozent). Dieses bekannte, bisher über den Facebook-Messenger ausgeführte Phishing wurde nun Teil einer FluBot-Phishing-Kampagne. Die Opfer erhalten zuerst eine SMS mit dem Betreff. Um das Video anschließend sehen zu können, werden sie dazu aufgefordert, ein vermeintliches Flash- oder Betriebssystem-Update zu installieren und erhalten stattdessen den Banking-Trojaner.
Weniger verbreitet sind falsche Browser Updates, Sprachnachrichten und Updates von Betriebssystemen. Nachgebaute Apps (auch falsche Antivirus-Apps) oder auch Erwachseneninhalte sind seltener ein Aufhänger für FluBot. Auffällig: Corona-Inhalte spielen aktuell keine Rolle mit nur 0,09 Prozent.
Wechselnde Versandgebiete
Die FluBot-Operateure wechseln laut Bitdefender ihre Zielgebiete in kürzester Zeit – häufig bereits nach wenigen Tagen. Im Dezember war neben Australien die Kampagne auch in Deutschland (Platz 2 mit 32,23 Prozent), Spanien, Italien und anderen europäischen Ländern aktiv. Seit Januar verlagere sich der Schwerpunkt zunehmend auf Polen, die Niederlande und Rumänien. Insgesamt bleibe Deutschland, trotz des Rückgangs, aber in den vergangenen zwei Monaten auf Platz zwei der Verbreitungsgebiete mit einem Anteil von 17,91 Prozent.
Auch im Play Store aktiv
Die Bitdefender Labs beobachten dabei anhand ihrer Telemetrie-Daten auch, wie über Google Play eine bösartige "QR Code Reader-Scanner App" mehr als 100.000 mal innerhalb eines Monats in 17 verschiedenen Varianten heruntergeladen wurde. Dabei handelt es sich höchstwahrscheinlich um einen hochverschlüsselten TeaBot Dropper.
Die TeaBot-Attacke zeichne sich dadurch aus, vermeintlich nützliche Apps im Google Play Store anzubieten. Alternativ tarne sie sich als falsche Version beliebter Apps, um dann beim Download als Dropper die Malware zu installieren. Die QR-Scanner-App verbreite sich vor allem in Großbritannien, und sogar auch über Google Ads.
dr
[1] https://bitdefender.com/blog/labs/new-flubot-and-teabot-global-malware-campaigns-discovered
