Schlagwort-Archive: Android

Neue Tricks der mobilen Joker-Malware: Github verbirgt die Payload

Originalartikel von Zhengyu Dong, Mobile Threats Analyst

Die Sicherheitsforscher von Trend Micro entdeckten kürzlich eine neue Version der persistenten mobilen Malware Joker. Das Sample in Google Play nutzte Github-Seiten und -Repositories, um der Entdeckung zu entgehen. Joker ist für eine ganze Reihe bösartiger Aktivitäten verantwortlich, angefangen vom ungewünschten Anmelden von Nutzern bei Bezahldiensten und Kompromittieren von SMS-Nachrichten bis zum Diebstahl von Kontakten.

Joker sucht seit seiner Entdeckung 2017 immer wieder mobile Nutzer heim. Im Januar 2020 entfernte Google 1700 infizierte Anwendungen aus dem Play Store. Und im September fand der Sicherheitsanbieter Zscaler 17 Samples, die in den Store hochgeladen worden waren.

Die Autoren der Malware haben ständig kleine Änderungen vorgenommen, um Schlupflöcher in Googles Verteidigung zu finden. Zu den früher ausprobierten Techniken gehört Verschlüsselung, um Strings vor den Analyse-Engines zu verstecken sowie „Versionierung“, das heisst das Hochladen einer sauberen Version der App, um dann bösartigen Code über Updates hinzuzufügen. Die neueste Technik nutzt Gibhub-Seiten und -Repositories, um der Entdeckung zu entgehen.

Die analysierte App verspricht Hintergrundmuster in HD- und 4K-Qualität. Sie wurde über tausendmal heruntergeladen, und Google hat sie mittlerweile aus dem Play Store entfernt.

Bild. Wallpaper-App, die die Joker-Malware ablegt.

Es ist die Version, die als neue Technik Github missbraucht, um die bösartige Payload zu speichern, im Gegensatz zu früher, als die Payload über eingefügten Code ausgeliefert wurde. Die Github-Seiten und –Repositories in Verbindung zur Malware sind alle abgeschaltet worden.

Eine ausführliche technische Analyse der neuen Joker-Version und des Infektionsablaufs liefert der Originalbeitrag.

Bösartige Apps in Google Play mutmaßlich von SideWinder APT Gruppe

Die Sicherheitsforscher von Trend Micro haben drei bösartige Apps im Google Play Store gefunden, die zusammenarbeiten, um das Gerät ihres Opfers zu infizieren und Nutzerinformationen zu sammeln. Eine der Apps, Camero, nutzt CVE-2019-2215 aus, eine Schwachstelle in Binder (wichtigstes Interprozesskommunikationssystem in Android). Es ist der erste bekannt gewordene aktive Angriff, der die Use-after-Free-Sicherheitslücke missbraucht. Nach weiterer Recherche stellten die Forscher fest, dass die drei Apps wahrscheinlich zum Arsenal der SideWinder-Gruppe gehören. Diese Gruppe ist seit 2012 aktiv und hat bereits Windows-Maschinen in Militäreinrichtungen anvisiert.

Die drei bösartigen Apps geben sich als Foto- und Dateimanager-Tools aus. Zertifikatsinformationen in einer der drei Apps lassen darauf schließen, dass sie seit Mai vergangenen Jahres aktiv sind. Mittlerweile wurden sie aus Google Play entfernt.

Die drei bösartigen Apps

Weitere technische Details liefert der Originalbeitrag.

Schutzlösungen

Trend Micro-Lösungen wie Mobile Security for Android™ (auch in Google Play erhältlich) sind in der Lage, diese Art von Bedrohungen zu erkennen. Nutzer können auch von den mehrschichtigen Sicherheitsfähigkeiten profitieren, die die Daten und die Privatsphäre vor Ransomware, betrügerischen Websites und Identitätsdiebstahl schützen.

Mobile Security for Enterprise wiederum liefert Geräte-, Compliance- und Anwendungsmanagement, Schutz der Daten sowie Konfigurations-Provisioning. Auch schützt die Lösung Geräte vor Angriffen, die Schwachstellen ausnutzen und erkennt und blockt Schadsoftware sowie betrügerische Websites. Trend Micro Mobile App Reputation Service (MARS) kann vor Android- und iOS-Bedrohungen schützen, wie etwa durch Schadsoftware, Zero-Days und bekannte Exploits sowie Vertraulichkeits-Leaks und Anwendungssicherheitslücken. Dafür setzt der Dienst auf fortschrittliche Sandbox- und Machine Learning-Technologie.

Schwachstelle CVE-2019-11932 noch immer in vielen Apps gefährlich

Originalbeitrag von Lance Jiang und Jesse Chang

Bereits Anfang Oktober wurde CVE-2019-11932, eine Schwachstelle in WhatsApp für Android, bekannt gemacht. Die Lücke erlaubt es Angreifern, mithilfe speziell präparierter GIF-Dateien aus der Ferne Code auszuführen. Sie wurde in der Version 2.19.244 von WhatsApp zwar gepatcht, doch das Problem liegt in der Bibliothek libpl_droidsonroids_gif.so, die zum android-gif-drawable-Package gehört. Auch dieser Fehler wurde behoben und dennoch sind viele Anwendungen immer noch in Gefahr, weil sie die ältere Version nutzen. An technischen Einzelheiten Interessierte finden sie im Originalbeitrag. Sie können auch das Video ansehen, das einen Proof of Concept vorführt:

Eine Recherche der Sicherheitsforscher ergab, dass allein in Google Play mehr als 3.000 Applikationen mit dieser Schwachstelle vorhanden sind. Die Forscher fanden auch in den Stores von Drittanbietern viele ähnliche Apps.

Lösungen

Die Lösungen von Trend Micro wie Trend Micro™ Mobile Security for Android™ können jede bösartige App, die diese Schwachstelle ausnutzt, erkennen. Endanwender profitieren auch von den mehrschichtigen Sicherheitsfähigkeiten, über die die Daten der Gerätebesitzer und deren Vertraulichkeit vor Ransomware, betrügerischen Websites und Identitätsdiebstahl geschützt sind.

Für Unternehmensanwender liefert wiederum Mobile Security for Enterprise Geräte-, Compliance- und Anwendungsmanagement, Schutz der Daten sowie Konfigurations-Provisioning. Auch schützt die Lösung Geräte vor Angriffen, die Schwachstellen ausnutzen und erkennt und blockt Schadsoftware sowie betrügerische Websites. Trend Micro Mobile App Reputation Service (MARS) kann vor Android- und iOS-Bedrohungen schützen, wie etwa durch Schadsoftware, Zero-Days und bekannte Exploits sowie Vertraulichkeits-Leaks und Sicherheitslücken in Anwendungen. Dafür setzt der Dienst auf fortschrittliche Sandbox- und Machine Learning-Technologie.

Toast Overlay installiert weitere Android Malware

Originalbeitrag von Lorin Wu, Mobile Threats Analyst

Die Sicherheitsforscher von Trend Micro haben neue Android-Schadsoftware entdeckt, die über einen Toast Overlay-Angriff im Verborgenen weitere Malware auf einem Gerät installieren kann. TOASTAMIGO ist von Trend Micro als ANDROIDOS_TOASTAMIGO erkannt worden. Die bösartigen Apps, von denen eine bis zum 6. November 500’000 Installationen aufwies, nutzen Androids Accessibility-Fähigkeiten, um Funktionen für das Anklicken von Werbung, Installation von Apps und Selbstschutz bzw. Persistenz zu ermöglichen.

Overlay-Angriffe umfassen das Erstellen und Überlagern von Android View (Images, Buttons) über andere laufende Apps oder Prozesse. Toast ist eine Android-Funktionalität, die für die Darstellung von Benachrichtigungen über andere Anwendungen genutzt wird. Ein typisches Szenario für einen Toast Overlay-Angriff besteht darin, den Nutzer dazu zu bringen, ein Fenster oder einen Button anzuklicken, den der Angreifer vorgibt. Die Technik, die bereits in diesem Jahr vorgeführt wurde, nutzt eine Sicherheitslücke in Toast (CVE-2017-0752) aus, die im letzten September gepatcht wurde.

Weiterlesen

Android Backdoor kann heimlich Audio & Video aufzeichnen – und mehr

von Lenart Bermejo, Jordan Pan und Cedric Pernet

Der Informationen stehlende RETADUP Wurm, der israelische Krankenhäuser angegriffen hatte, ist Teil einer Attacke, die breitangelegt ist, als ursprünglich angenommen – zumindest bezüglich der Auswirkungen. Der Angriff wurde von einer noch gefährlicheren Bedrohung begleitet – einer Android-Schadsoftware, die ein Mobilgerät übernehmen kann. Trend Micro hat sie als ANDROIDOS_GHOSTCTRL.OPS/ANDROIDOS_GHOSTCTRL.OPSA erkannt und den Backdoor GhostCtrl genannt, weil er unbemerkt eine Reihe von Funktionen auf dem betroffenen Gerät kontrollieren kann.

Weiterlesen

Achtung bei Pokémon Go – Werbe App schlägt Kapital

Originalbeitrag von: Shawn Xing und Ecular Xu (Mobile Threat Response Engineers)

Das mobile, ortungsbasierende Augmented-Reality-Spiel Pokémon Go erobert die Welt im Sturm. Unter lautem Trommeln am 6. Juli im Markt eingeführt, hat die App bereits mehr Nutzer auf Android-Geräten gefunden als die entsprechende Facebook-App. Apple hat sogar vermeldet, dass es keine andere App gibt, die in der ersten Woche nach ihrem Erscheinen häufiger heruntergeladen wurde. So verwundert es wenig, dass Betrüger und Cyberkriminelle diese hohe Popularität schnell zu Geld machen wollen. So haben sie bösartige Versionen des Spiels und diesbezügliche Hilfe-Apps kreiert, die Bildschirme sperren und Scareware sowie Adware, ja sogar einen Remote-Access-Trojaner auf die Geräte laden.
Weiterlesen