Neue Android-Bedrohung: Malware und Ransomware in einem einzigen Angriff

Wenn Cyberkriminelle die Geräte von Benutzern ins Visier nehmen, infizieren sie diese in der Regel mit einer oder mehreren Malware-Varianten: entweder mit einem Programm zum Diebstahl von Informationen, einem Trojaner für den Fernzugriff, einer Hintertür oder einer verschlüsselten Ransomware.

Es ist selten, all diese Funktionen in einer einzigen Anwendung integriert zu sehen, und noch seltener, dass sie auf Android-Mobilgeräte abzielen. Sicherheitsforscher von Zimperium haben jedoch genau dies entdeckt.

Mantax Otax

Das Sicherheitsunternehmen Zimperium hat einen detaillierten Bericht über Mantax Otax veröffentlicht , eine neuartige Malware, die sich derzeit verbreitet. Sie scheint von einem indonesischen Cyberkriminellen entwickelt worden zu sein und zielt auf Opfer innerhalb des Landes ab. Die genaue Anzahl der Infizierten ist jedoch unbekannt, ebenso wie die Frage, ob die Kampagne primär Geschäftskunden oder Privatpersonen im Allgemeinen ins Visier nimmt.

Diese Schadsoftware wird als eigenständige APK-Datei verbreitet und ist daher in alternativen App-Stores, Telegram-Kanälen, Foren und sozialen Medien zu finden. In offiziellen App-Repositories wie dem Google Play Store oder dem Samsung Galaxy Store gibt es keine Spuren von Mantax Otax. Zimperium vermutet zudem, dass die Verbreitung über Phishing-E-Mails erfolgt.

Mantax Otax zielt primär auf Nutzer älterer Android-Smartphones ab. Versionen 9 und älter sind am anfälligsten, da Angreifer auf diesen Geräten alle Funktionen der Schadsoftware ausnutzen können. Android 10 und neuere Versionen bieten einen gewissen Schutz.

Die Forscher erklärten: „Im Gegensatz dazu schränken die systemeigenen Schutzmechanismen moderner Geräte mit Android 10 und höher , insbesondere die Speicherbereichsbeschränkungen, die Wirksamkeit der Schadsoftware erheblich ein.“ Sie fügten hinzu: „Aufgrund dieser Sandbox-Regeln kann die Ransomware nur das für die Anwendung vorgesehene externe Dateiverzeichnis scannen, wodurch der Schadensumfang stark reduziert und die Größe der zugänglichen Benutzerdateien begrenzt wird.“

Neuere Geräte sowie Nutzer der Lösungen Mobile Threat Defense (MTD) und Runtime Application Protection (zDefend) von Zimperium sollen auf Softwareebene geschützt sein .

Ein weiterer entscheidender Punkt betrifft die Berechtigungen. Wie bei Android-Geräten üblich, funktioniert die meiste Schadsoftware nur, wenn der Nutzer ihr zuvor umfangreiche Berechtigungen erteilt. In diesem Fall fordert Mantax Otax zunächst Administratorrechte an und gewährt sich anschließend eine Vielzahl von Zugriffsrechten, von SMS-Nachrichten, Kontakten und Audiodateien bis hin zu Fotos.

Anschließend fordert es Zugriffsberechtigungen an und erlangt so die vollständige Kontrolle über das kompromittierte Gerät.

bösartige Fähigkeiten

Mantax Otax verfügt über umfangreiche Fähigkeiten zum Datendiebstahl und zur Gerätekontrolle. Es stiehlt Browserverlauf, Kontakte, Anruflisten, SMS-Nachrichten, Benachrichtigungen , Dateien, Galerieinhalte, Google-Kontoinformationen, Gerätespezifikationen, Standortdaten und Listen installierter Apps. Außerdem kann es WhatsApp-Informationen wie Nachrichten und Profile extrahieren und bei Telegram sogar Sperrbildschirm-PINs stehlen.

Neben der Möglichkeit zum Datendiebstahl dient dieses Tool auch als Fernüberwachungsgerät, das Screenshots erstellt, den Bildschirm aufzeichnet oder live an Angreifer streamt. Es kann Bilder mit der Vorder- und Rückkamera aufnehmen, allerdings erwähnt Zimperium keine Mikrofonaufnahmefunktion.

Sobald alle Daten gesammelt wurden, werden die Dateien des Nutzers mit AES verschlüsselt, die Originaldateien gelöscht und die Dateiendung .enc hinzugefügt. Anschließend wird den Opfern eine Chat-Oberfläche angezeigt, über die sie direkt mit den Angreifern kommunizieren und eine Lösegeldzahlung im Austausch für die Rückgabe ihrer Geräte aushandeln können.

Das Tool scheint sich in ständiger Weiterentwicklung zu befinden. Zimperium entdeckte zwei separate Versionen, von denen eine eine Weiterentwicklung der anderen darstellt. Die Forscher merkten an: „Erwähnenswert ist, dass das Netzwerkverkehrsverhalten auf die Verwendung von WebSockets umgestellt und eine Reihe neuer Befehle eingeführt wurde.“

Es gibt einen Grund, warum Ransomware-Betreiber Unternehmen gegenüber Privatpersonen bevorzugen. Zwar sind Privatpersonen nicht gänzlich von der Liste der Opfer verschwunden, doch Unternehmen erleiden durch Betriebsunterbrechungen erhebliche Verluste und werden daher häufig angegriffen. Leider wissen wir nicht, welche Art von Anwendung Mantax Otax imitiert, was es schwierig macht, die beabsichtigten Opfer zu identifizieren.