Eine heimtückische Bedrohung für Android, die auch ohne Internetverbindung Daten stiehlt

Die Sicherheitsforscher von ThreatFabric beobachten die Infrastruktur einer neuen Android-Malware namens Manic bereits seit einiger Zeit. Der Schadcode ist in mindestens 169 verschiedenen Anwendungen installiert, darunter Mobile-Banking-Apps, Dienste für digitale Identität, Krypto-Wallets, Zwei-Faktor-Authentifizierungs-Apps und sogar militärische und geschäftliche Kommunikationsanwendungen. Der Schwerpunkt der Angriffe liegt in der Ukraine, aber auch Banking-Apps aus verschiedenen europäischen Ländern wie Deutschland, Frankreich, Österreich, Polen und anderen Märkten sind betroffen.

Manic vereint zwei normalerweise getrennte Bereiche: Bankbetrug und direkte Spionage. Das Programm kann den Standort des Geräts verfolgen, Benachrichtigungen lesen, Dateien einsehen und das Telefon fernsteuern. Der Virus verbreitet sich über Container-Anwendungen, deren Namen Systemkomponenten etablierter Hersteller ähneln. Die neuesten Versionen laden den Code direkt in den Arbeitsspeicher und verbergen ihn geschickt in der Liste der installierten Anwendungen.

Die PIN-Abfangtechnik ist besonders ausgefeilt. Anstatt gefälschte Anmeldeseiten anzuzeigen, legt der Schadcode eine transparente Schicht über die numerische Tastatur der Zielanwendungen. Er zeichnet jede Berührung des Bildschirms präzise auf, missbraucht dann die Bedienungshilfen und wiederholt dieselbe Eingabe, sodass die legitime Anwendung ungestört weiterläuft. Zusätzlich kann der Schadcode automatisch bereits gespeicherte Passwörter auf dem Sperrbildschirm testen. Er sortiert alle eingegebenen Zeichen in Echtzeit nach Typ und unterscheidet dabei zwischen Sicherheitswörtern für Krypto-Wallets, SMS-Codes, Passwörtern und normalen Nachrichten. Angreifer können das Gerät außerdem live über WebRTC steuern und das Bild der Kamera oder des Bildschirms überwachen, während sie dem Benutzer einen schwarzen Bildschirm oder gefälschte Updates anzeigen.

Das Ungewöhnlichste an dem System ist die Übertragung der gestohlenen Daten. Hat das infizierte Telefon keinen Internetzugang, verschlüsselt es die gestohlenen Daten mit dem AES-GCM-Algorithmus und speichert sie in einer lokalen Warteschlange. Anschließend sucht es per Wi-Fi Direct oder Bluetooth nach anderen infizierten Geräten in der Nähe und sendet das verschlüsselte Datenpaket an diese. Von dort durchläuft es bis zu vier Zwischenstationen bis zum Kontrollserver.

Das Trennen des Geräts vom Netzwerk verhindert keinen Datenverlust, wenn sich ein anderes infiziertes Telefon in der Nähe befindet. Der grundlegende Schutz besteht daher weiterhin darin, die Installation von APK-Dateien aus nicht verifizierten Quellen konsequent zu vermeiden und beim Erteilen umfangreicher Systemberechtigungen Vorsicht walten zu lassen.