Google Play Store: Sicherheitsforscher entdecken weiterhin infizierte Apps

Die Sicherheitsforscher von Check Point haben erneut infizierte Apps im Google Play Store gefunden. Mehrere Anwendungen waren betroffen und enthielten den Malware-Dropper Clast82. Darüber wurde dann auf infizierte Geräte nachträglich die Malware AlienBiot Banker geschaufelt. Über jene ließen sich durch Kriminelle Smartphones komplett übernehmen.

Eine ausführliche, englischsprachige Erläuterung mit allen technischen Details könnt ihr hier direkt bei Check Point Research finden. Versteckt war Clast82 in Utility-Apps, die recht unterschiedliche Funktionen angeboten hatten. Sie sollten vermeintlich zur Aufzeichnung von Bildschirminhalten oder auch für VPN-Verbindungen herhalten. Clast82 ist vor allem darauf ausgelegt, Hackern einen Zugang zu den Bankdaten des Opfers zu verschaffen. Da kommt eben AlienBot Banker ins Spiel, denn diese Malware kann die Zwei-Faktor-Authentifizierungen von Bankkonten umgehen.

Dabei handelt es sich um eine „Malware-as-a-service“, die im Darknet gemietet werden kann. Gleichzeitig ist Clast82 selbst mit einem Mobile Remote Access Trojan (MRAT) ausgerüstet, der über die Anwendung TeamViewer die Kontrolle über das Smartphone ermöglicht. Der zugreifende Hacker kann das Smartphone dann kontrollieren, als hätte er es selbst in der Hand. Googles Play Protection wurde hier vollständig umgangen. Das wurde erreicht, indem via Firebase die Konfiguration der Malware für die Prüfung durch Play Protection vorübergehend geändert wurde.

Aktuell ist unklar, wie viele Nutzer die schädlichen Apps genutzt haben und von Angriffen betroffen gewesen sind. Google hat die infizierten Anwendungen mittlerweile aus dem Play Store entfernt.

Hier die schädlichen Applikationen, die im Google Play Store waren:

• Cake VPN – com.lazycoder.cakevpns
• Pacific VPN – com.protectvpn.freeapp
• eVPN – com.abcd.evpnfree
• BeatPlayer – com.crrl.beatplayers
• QR/Barcode Scanner MAX – com.bezrukd.qrcodebarcode
• Music Player – com.revosleap.samplemusicplayers
• tooltipnatorlibrary – com.mistergrizzlys.docscanpro
• QRecorder – com.record.callvoicerecorder

GitHub diente dabei als Plattform für die Zusatz-Malware: Die Angreifer haben für jede infizierte App ein neues Entwickler-Konto im Google Play Store erstellt, begleitend zu einem passenden Speicher im GitHub-Konto. Das ermöglichte es ihnen, verschiedene Nutzlasten an infizierte Smartphones zu schicken, je nachdem, mit welcher App sie infiziert wurden. Unschöne Sache, die unterstreicht, dass man selbst im Play Store vorsichtig damit sein sollte, was man sich herunterlädt. Am besten man prüft im Zweifelsfall, ob es sich um einen vertrauenswürdigen Entwickler handelt.