Sicherheitsforscher haben eine Android-Malware-Variante entdeckt, die Bankbetrug, Überwachung und Fernsteuerung von Geräten mit einer ungewöhnlichen Methode kombiniert, gestohlene Informationen zwischen infizierten Smartphones zu bewegen.
Von Forschern von ThreatFabric Manic benannt, zielt die Malware auf 169 Anwendungen ab, die Bankwesen, Zahlungsdienste, Kryptowährungsplattformen und Wallets, Messaging-Dienste, Regierungsanwendungen, Authentifikatoren, Browser und E-Mail-Clients umfassen. Ihr Hauptfokus liegt auf der Ukraine, wobei die Zielliste auch russische und europäische Finanzinstitute, internationale Fintech- und Krypto-Dienstleistungen sowie militärisch orientierte Kommunikation umfasst.
Sobald Manic Accessibility Service und Benachrichtigungsberechtigungen erhält, können seine Betreiber umfangreichen Zugriff auf das kompromittierte Android-Gerät erhalten. Die Malware kann Passwörter, einmalige Authentifizierungscodes und Kryptowährungs-Wiederherstellungsphrasen sammeln und gleichzeitig Textnachrichten überwachen.
Manic kann Overlays und irreführende Bildschirme missbrauchen, wenn Opfer gezielte Bank- oder Kryptowährungsanwendungen nutzen. Diese Techniken ermöglichen es ihm, bösartige Aktivitäten zu verbergen und Informationen über Tastenfeld auf dem Bildschirm zu erfassen. Der Missbrauch von Android Accessibility Services ermöglicht es Angreifern außerdem, das Angezeigte auf dem Bildschirm zu beobachten und aus der Ferne mit dem Gerät zu interagieren.
ThreatFabric hat herausgefunden, dass Manic Informationen erfassen kann, die mit den Methoden zur Entsperrung eines Telefons verbunden sind, darunter PINs, Passwörter, Muster, Fingerabdrücke und Gesichtserkennung. Forscher charakterisieren die Malware als eine Kombination von Funktionalitäten, die mit Android-Banking-Bedrohungen verbunden sind, mit umfassenderen Spyware-Fähigkeiten.
Eine der markanteren Fähigkeiten von Manic betrifft, wie es Informationen exfiltriert. Gestohlene Dateien und Daten werden mit AES-GCM verschlüsselt und in einer lokalen Warteschlange gespeichert, während die Malware nach einem Weg zu ihrer Kommando- und Kontrollinfrastruktur sucht.
Ein kompromittiertes Telefon benötigt nicht zwangsläufig eine eigene Internetverbindung, um diese Informationen zu liefern. Manic kann in der Warteschlange gespeicherte Daten per Wi-Fi Direct oder Bluetooth auf ein anderes infiziertes Android-Gerät in der Nähe übertragen. Dieses zweite Gerät kann dann als Weiterleitung fungieren und die gestohlenen Informationen an die von den Angreifern kontrollierte Infrastruktur weiterleiten.
Wenn weder eine direkte Verbindung noch ein anderes geeignetes infiziertes Gerät verfügbar sind, hält Manic die verschlüsselten Daten in der Warteschlange und versucht später erneut die Übertragung.
Diese Fähigkeit bedeutet, dass das Trennen eines infizierten Smartphones allein vom Internet möglicherweise nicht ausreicht, um Informationen am Verlassen des Geräts zu hindern. Befindet sich ein weiteres Manic-infiziertes Telefon in drahtloser Reichweite, kann die Malware dennoch einen alternativen Weg zur Übertragung gestohlener Informationen haben.
Forscher haben Manic im Google Play Store nicht identifiziert. Die Malware verstärkt daher die Risiken bei der Installation von Android-APK-Dateien, die über vertrauenswürdige Webseiten oder andere inoffizielle Verbreitungsquellen bezogen werden.