Die Manic-Android-Malware kann sensible Daten von kompromittierten Smartphones stehlen und sie über infizierte Geräte in der Nähe weiterleiten, wenn sie ihren Command-and-Control-Server nicht direkt erreichen kann. Die Bedrohung kombiniert Banking-Betrug, Spyware-Funktionen und Fernsteuerungswerkzeuge in einem einzigen Android-Paket.
Forscher geben an, dass Manic mindestens seit Februar aktiv ist. Die Malware zielt auf Nutzer in mehreren europäischen Ländern ab, wobei ukrainische Banking- und behördenbezogene Apps offenbar einen wichtigen Schwerpunkt darstellen.
Manic-Android-Malware zielt auf Finanz- und Behörden-Apps ab
Die Malware nimmt mindestens 169 Anwendungen ins Visier, darunter Banking-, Zahlungs-, staatliche eID-, Kryptowährungs-Wallet-, Messaging- und Authenticator-Apps. Sie zielt außerdem auf Dienste ab, die in Mittel- und Westeuropa, Großbritannien, Russland und der Ukraine genutzt werden.
Forscher von ThreatFabric stellten fest, dass Manic transparente Overlays über den numerischen Tastenfeldern legitimer Apps verwendet. Diese Overlays zeichnen die Eingaben eines Opfers auf, während die echte App im Hintergrund weiterhin normal funktioniert.
Anschließend nutzt die Malware die Android-Bedienungshilfen, um die erfassten Eingaben zu reproduzieren. Mit diesem Ansatz können Angreifer Daten sammeln, ohne dass das Opfer sofort bemerkt, dass sich etwas verändert hat.
Malware erfasst PINs, Passwörter und SMS-Codes
Sobald Manic Berechtigungen für Bedienungshilfen und Benachrichtigungen erhält, kann die Malware eine Vielzahl von Informationen vom Gerät sammeln. Dazu gehören PINs und Passwörter für den Sperrbildschirm, eingehende Benachrichtigungen, SMS-Nachrichten, Dateien und Standortdaten.
Die Malware kann außerdem den Bildschirm des Geräts überwachen und ihren Betreibern über WebRTC-Sitzungen Fernzugriff ermöglichen. Darüber hinaus sortiert sie gestohlene Informationen in verschiedene Kategorien, bevor sie diese speichert.
Forscher beschreiben den Bedienungshilfendienst als Keylogger für die Benutzeroberfläche. Er kann zwischen Eingaben auf dem Sperrbildschirm, möglichen Wiederherstellungsphrasen, SMS-Verifizierungscodes, Passwörtern, E-Mail-Anmeldedaten, längeren Nachrichten und gewöhnlichem Text unterscheiden.
Diese Klassifizierung erleichtert Kriminellen die Nutzung der gestohlenen Daten. Angreifer können beispielsweise einen einmaligen Banking-Code oder eine Wiederherstellungsphrase für Kryptowährungen schnell in einer größeren Menge gesammelter Informationen identifizieren.
Infizierte Smartphones in der Nähe können gestohlene Daten weiterleiten
Manic verfügt über ein ungewöhnliches Ausweichsystem für den Datendiebstahl. Wenn das infizierte Smartphone seinen Command-and-Control-Server nicht erreichen kann, kann die Malware die gesammelten Informationen verschlüsseln und an ein anderes kompromittiertes Gerät in der Nähe weitergeben.
Die Malware versucht zunächst, eine bestehende Wi-Fi-Direct-Verbindung zu verwenden. Anschließend kann sie nach Bluetooth- und Bluetooth-Low-Energy-Geräten mit Internetzugang suchen. Bei Bedarf kann sie Daten über mehrere infizierte Geräte weiterleiten, bevor diese die Infrastruktur der Angreifer erreichen.
Standardmäßig kann die Malware bis zu vier Weiterleitungsstationen nutzen. Das bedeutet, dass ein infiziertes Smartphone ohne Internetverbindung weiterhin Daten preisgeben kann, wenn sich ein anderes kompromittiertes Gerät innerhalb der Wi-Fi- oder Bluetooth-Reichweite befindet.
Forscher beobachten wachsende Manic-Infrastruktur
Die genaue Infektionsmethode ist weiterhin unbekannt. Forscher beobachteten jedoch Ende Mai einen Wrapper, der zur Bereitstellung der eigentlichen Malware-Payload verwendet wurde.
Die Angreifer erweiterten ihre Infrastruktur in den folgenden Monaten. Im Juli identifizierten Forscher einen aktualisierten Wrapper mit stärkeren Anti-Analyse-Funktionen und In-Memory-DEX-Loading. Außerdem beobachteten sie ein neues Kontrollpanel und eine neue API.
Diese Änderungen deuten darauf hin, dass die Betreiber die Kampagne weiterentwickeln und ihre Fähigkeit verbessern, einer Erkennung zu entgehen.
Fazit
Die Manic-Android-Malware stellt ein ernstes Risiko dar, da sie Banking-Betrug, Überwachung und Fernzugriff mit einer widerstandsfähigen Funktion zur Datenweiterleitung kombiniert. Android-Nutzer sollten APK-Downloads aus inoffiziellen Quellen vermeiden, Berechtigungen für Bedienungshilfen auf vertrauenswürdige Apps beschränken und regelmäßig Play-Protect-Scans durchführen.
0 Kommentare zu „Manic-Android-Malware kann Daten über Geräte in der Nähe exfiltrieren“