- Anzeigen -


Sie sind hier: Home » Virenwarnung » Hintergrund

Android Remote Administration Tools (RATs)


Eset warnt vor HeroRat: Mobile Malware verwandelt Android-Smartphones in digitale Wanzen
Android Remote Administration Tool-Familie missbraucht beliebten Messenger Telegram

- Anzeigen -





Eset warnt vor der mobilen Malware "HeroRat". Sie nutzt das Protokoll des beliebten Messengers Telegram, um Kontrolle über Android-Smartphones zu erlangen und sie fernzusteuern. Der gefährliche Schädling ist Teil einer ganzen Familie von Android RATs (Remote Administration Tools), die Eset-Sicherheitsforscher bereits im August 2017 entdeckt hatten. Im März dieses Jahres wurde der Quellcode kostenlos in verschiedenen Telegram-Hacking-Kanälen verfügbar gemacht. Daraus entwickelten sich dann parallel Hunderte Varianten der Malware, die sich nun in freier Wildbahn im Umlauf befinden.

Trotz des frei verfügbaren Quellcodes unterscheidet sich die Variante HeroRat signifikant von den anderen und ist daher besonders bedrohlich. In Hackerkreisen hat die Malware bereits eine zweifelhafte Berühmtheit erlangt und wird in einem eigenen Hacking-Kanal zu Telegram angeboten. HeroRat ist je nach Funktionalität in drei Preismodellen erhältlich und verfügt über einen Video-Support-Kanal. Es ist unklar, ob diese Variante aus dem durchgesickerten Quellcode erstellt wurde, oder ob es sich hierbei sogar um das "Original" handelt, dessen Quellcode durchgesickert ist.

Wie funktioniert das RAT?
Angreifer animieren die Opfer das RAT herunterzuladen, indem sie es unter verschiedenen attraktiv klingenden Schein-Apps, über App Stores von Drittanbietern, Social Media und Messaging Apps verbreiten. "Wir haben die Malware als Apps gesehen, die kostenlose Bitcoins, kostenlose Internetverbindungen und zusätzliche Anhänger in sozialen Medien versprechen", erläutert Lukas Stefanko, Malware Forscher bei Eset. Auf Google Play sei die Malware noch nicht aktiv.

Der Schädling läuft auf allen Android-Versionen. Bevor er aktiv werden kann, müssen Nutzer jedoch von der App benötigten Berechtigungen akzeptieren. Nachdem die Malware auf dem Gerät des Opfers installiert und gestartet wurde, erscheint ein Popup. Es behauptet, dass die Anwendung auf dem Gerät nicht ausgeführt werden kann und daher deinstalliert wird. "In den von uns analysierten Varianten erscheint vermeintliche Deinstallationsmeldung je nach Spracheinstellung des Zielgerätes in Englisch oder Persisch", so Stefanko. Nachdem die Deinstallation scheinbar abgeschlossen ist, verschwindet das Symbol der Anwendung. Auf der Seite des Angreifers wird jedoch genau zu diesem Zeitpunkt das befallene Smartphone als neues Opfergerät registriert.

Nachdem der Angreifer Zugriff auf das Gerät des Opfers erhalten hat, nutzt er die Bot-Funktionalität von Telegram. So kann er das befallene Gerät selbst steuern und nahezu beliebig manipulieren. Denn die Malware verfügt über eine breite Palette von Spionage- und Datei-Filterfunktionen. Dazu zählen neben dem Abfangen von Textnachrichten und Kontakten das Senden von Textnachrichten und Anrufen, Audio- und Bildschirmaufzeichnungen, das Abrufen der Geräteposition und die Steuerung der Geräteeinstellungen. Das Opfer bemerkt davon nichts. Die Übertragung von Befehlen an die kompromittierten Geräte und die Übermittlung von sensiblen Daten an die Hacker werden vollständig über das Telegrammprotokoll abgedeckt. Diese Tarnung verhindert geschickt, dass die Malware aufgrund des Datenverkehrs zu bekannten Upload-Servern entdeckt wird.

So bleiben Android-Nutzer sicher
Mit dem kürzlich kostenlos zur Verfügung gestellten Quellcode der Malware konnten bereits neue Mutationen entwickelt und weltweit eingesetzt werden. Da die Verteilungsmethode und die Form der Tarnung dieser Malware von Fall zu Fall variiert, reicht es nicht aus, wenn mobile Anwender das Gerät auf das Vorhandensein bestimmter Anwendungen überprüfen, um festzustellen, ob Ihr Gerät kompromittiert wurde. Um eine Gefährdung auszuschließen, empfiehlt sich der Scan mit einer zuverlässigen mobilen Sicherheitslösung. Eset-Lösungen erkennen und blockieren diese Bedrohung als Android/Spy.Agent.AMS und Android/Agent.AQO.

Um nicht Opfer von Android-Malware zu werden, sollten Nutzer Apps ausschließlich aus vertrauenswürdigen Quellen wie dem offiziellen Google Play-Store herunterladen. Vor dem Download von Apps empfiehlt sich ein Blick in die Benutzerbewertungen. Nicht zuletzt sollten Anwender darauf achten, welche Berechtigungen sie den Apps vor und nach der Installation gewähren. (Eset: ra)

eingetragen: 22.06.18
Newsletterlauf: 27.06.18

Eset: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.

- Anzeigen -





Kostenloser IT SecCity-Newsletter
Ihr IT SecCity-Newsletter hier >>>>>>

- Anzeigen -


Meldungen: Hintergrund

  • Stromausfall durch eine Cyberattacke

    Die Sicherheitsforscher von Eset haben ein neues Malware-Framework enttarnt. Dabei handelt es sich um eine Art Toolsammlung, die aus mehreren Komponenten besteht. Das Framework mit der Bezeichnung GreyEnergy wird höchstwahrscheinlich von der gleichen Gruppe Cyberkrimineller betrieben, die hinter BlackEnergy, Telebots und vermutlich auch NotPeya stecken. Vergangene Woche deckte Eset auf, dass auch die Malware Industroyer auf das Konto von Telebots geht.

  • G Data entdeckt Cybercrime-Hotspot in der Ukraine

    Eine neue Version der GandCrab-Ransomware erregte die Aufmerksamkeit unserer Analysten. Bei genauerem Hinschauen fanden sie Hinweise auf ein ganzes kriminelles Netzwerk in der Ukraine. Bei der Analyse einer neuen Version der GandCrab-Ransomware haben G Data-Sicherheitsforscher ein ganzes Netzwerk krimineller Aktivitäten entdeckt, die aus einem zusammenhängenden IP-Bereich aus der Ukraine heraus betrieben werden. Die vermutlich unter falscher Adresse registrierten IP-Adressen zeigen Hinweise auf illegales Cryptojacking, Phishing-Seiten und Dating-Portale. Zuletzt wurde GandCrab in Version 4 gegen Personalabteilungen eingesetzt. Ransomware wird in Untergrundforen an Kriminelle verkauft oder vermietet. Das ist wohl auch im Falle von GandCrab v5 so. Allerdings will die Person hinter der IP-Adresse sich offenbar nicht auf nur eine kriminelle Aktivität verlassen, um Einnahmen zu generieren.

  • Trojaner-App extrem gefährlich

    Manche Entwickler mobiler Anwendungen meiden die traditionellen App-Stores. Das kommt Cyber-Kriminellen sehr entgegen, wie der neue Trojaner GPlayed beispielhaft zeigt. Diese als App getarnte Malware verwendet ein Symbol, das dem Logo des Google Play Store zum Verwechseln ähnlich sieht. Zudem nutzt sie den Namen "Google Play Marketplace", um sich zu tarnen. Was diese Malware unberechenbar macht, ist die Fähigkeit, sich nach der Bereitstellung zu verändern. Dazu hat der Entwickler die Möglichkeit eingerichtet, aus der Ferne Plugins zu laden, Skripte einzuspeisen und sogar einen neuen ausführbaren .NET-Code zu generieren.

  • Neue Backdoor-Variante

    Der aktuelle BSI Lagebericht verdeutlicht, dass Cyber-Angriffe an der Tagesordnung sind. Immer stärker in den Fokus rücken dabei Infrastrukturanbieter. Bereits im vergangenen Jahr war es Angreifern gelungen, in der Ukraine mit dem Schadprogramm Industroyer und Blackenergy Energieversoger und Kraftwerke anzugreifen. Das Resultat: In Teilen der Ukraine brach die Stromversorgung für mehrere Stunden komplett zusammen. Neueste Eset Analysen zeigen, dass diese Cybercrime-Gruppierung jetzt mit den Online-Kriminellen zusammenarbeitet, die für die Entwicklung von Wannacry und NotPetya verantwortlich waren. Das daraus resultierende Cyber-Attacker Know-how hebt das Gefahrenpotential für KRITIS-Betreiber auf ein vollkommen neues Niveau. Deutschland und andere europäische Staaten könnten nach Einschätzung von Eset zukünftig stärker als bisher in den Fokus von Cyber-Terroristen geraten.

  • Wandlungsfähigkeit & Experimentierfreude

    Es gibt eine neue Entwicklung bei der Verbreitung der Malware ,KopiLuwak' des russischsprachigen Bedrohungsakteurs Turla (auch bekannt als Snake oder Uroburos): Experten von Kaspersky Lab berichten, dass das Schadprogramm einen nahezu identischen Code nutzt, der erst vor einem Monat im Zuge der Zebrocy-Operation, als Teilgruppe von Sofacy (ebenfalls russischsprachig, auch bekannt als Fancy Bear und ATP28), verwendet wurde. Die Kaspersky-Analyse über vier derzeit aktive Turla-Cluster zeigt zudem, dass es bei Sofacy und Turla Überschneidungen der anvisierten Ziele gab: geopolitische Hotspots in Zentralasien sowie sensible Regierungs- und Militäreinheiten. KopiLuwak (benannt nach einer seltenen Kaffeesorte) wurde erstmalig im November 2016 entdeckt und verbreitet Dokumente mit Malware und aktivierten Makros, die neue, schwer analysierbare Javascript-Malware hinterlassen, über die die Angreifer bei den anvisierten Opfern System- und Netzwerkaufklärung betreiben konnten.