Hirudo-Android-Malware ersetzt Banking-Apps durch Kopien, die Anmeldedaten stehlen

Die Hirudo-Android-Malware stiehlt Finanzzugangsdaten, indem sie echte Banking-Apps durch modifizierte Kopien ersetzt. Diese Ersatz-Apps behalten den Großteil der ursprünglichen Funktionalität bei und beeinträchtigen gleichzeitig Sicherheitsprüfungen, die zum Schutz von Kundenkonten entwickelt wurden.

Forscher haben schädliche Versionen von acht Banking-Apps identifiziert. Neben dem Diebstahl von Anmeldedaten ermöglicht die Malware Angreifern, infizierte Smartphones fernzusteuern, Nachrichten zu lesen und Audioaufnahmen anzufertigen.

Bislang haben Ermittler Nachahmungen von Apps mindestens sieben indonesischer Banken beobachtet. Die umfassendere Zielauswahl umfasst jedoch auch Finanzorganisationen in China, Indien, Mexiko, Marokko und Thailand.

Gefälschte Updates starten den Infektionsprozess

Der Angriff beginnt mit Apps, die Shopping, Inhalte für Erwachsene oder kurze Dramaserien anbieten. Beispiele sind Shopora, 1V1 X, ZoyaTV und KoiShort.

Diese Apps bieten die beworbenen Funktionen tatsächlich an, wodurch sie glaubwürdig erscheinen. Gleichzeitig fungieren sie jedoch als Ladeprogramme, die Hirudo über gefälschte Update-Benachrichtigungen einschleusen.

Diese Aufforderungen leiten Nutzer dazu an, weitreichende Berechtigungen zu erteilen, einschließlich des Zugriffs auf die Bedienungshilfen von Android. Die Malware missbraucht diesen Zugriff anschließend während des Austauschs der Banking-App.

Zunächst öffnet Hirudo die Deinstallationsfunktion der legitimen Banking-App. Anschließend lädt die Malware eine modifizierte Ersatz-App herunter und nutzt die Berechtigungen für Bedienungshilfen, um deren Installation zu unterstützen.

Allerdings verläuft der Austauschprozess nicht völlig reibungslos. Forscher haben zwei Phasen identifiziert, in denen das Opfer den Vorgang unterbrechen kann.

Modifizierte Banking-Apps untergraben ihre eigenen Sicherheitsprüfungen

Die Ersatz-Apps bewahren nahezu den gesamten Code der ursprünglichen Banking-Software. Gleichzeitig laden sie eine Hooking-Engine, die mit den Open-Source-Frameworks YAHFA und Dobby entwickelt wurde.

Diese Engine läuft innerhalb des eigenen Prozesses der Banking-App und ermöglicht es, Antworten auf Sicherheitsprüfungen zu manipulieren.

Beispielsweise liefert sie das echte Signaturzertifikat, wenn die App Zertifikatsinformationen anfordert. Außerdem verbirgt sie aktive Bedienungshilfen, indem sie eine leere Liste zurückgibt.

Gleichzeitig entfernt die modifizierte App Beschränkungen für Screenshots, sodass Angreifer Inhalte einsehen und aufzeichnen können, die normalerweise geschützt bleiben würden.

Weitere Änderungen betreffen Zertifikate zur Schlüsselattestierung und leiten Play-Integrity-Anfragen über einen von den Angreifern kontrollierten Server. Zusammen sollen diese Techniken Prüfungen untergraben, die die modifizierte App oder ihre Betriebsumgebung aufdecken könnten.

Kompromittierte Zertifikate bieten eine Möglichkeit zur Erkennung

Trotz dieser Fähigkeiten weisen die Methoden von Hirudo zur Umgehung der Erkennung Einschränkungen auf.

Forscher stellten fest, dass die mitgelieferte Keybox für die Attestierung bereits öffentlich geleakt worden war. Google führt außerdem zwei zugehörige Zertifikate als kompromittiert auf.

Folglich können Banken, die den Widerrufsstatus von Zertifikaten auf ihren Servern überprüfen, diese kompromittierten Zertifikate erkennen. Dadurch entsteht eine Möglichkeit, gefälschte Attestierungsnachweise zu identifizieren, obwohl die Malware innerhalb der App in die Prüfungen eingreift.

Hirudo sammelt PINs, Nachrichten und geheime Gerätedaten

Sobald die Hirudo-Android-Malware aktiv ist, kann sie Banking-Passwörter, Zahlungs-PINs, geheime Informationen zum Entsperren des Geräts und SMS-Nachrichten sammeln.

Darüber hinaus können Angreifer den Bildschirm des Smartphones streamen, Screenshots erstellen, Audioaufnahmen anfertigen und auf beide Kameras zugreifen. Diese Funktionen ermöglichen Echtzeitüberwachung und Fernsteuerung.

Bei der Operation werden außerdem gefälschte Bezahlseiten eingesetzt, um Zahlungs-PINs abzugreifen. Nachdem die Informationen gesammelt wurden, zeigen diese Seiten eine vorgetäuschte Meldung über eine erfolgreiche Zahlung an, um das Opfer zu täuschen.

Forscher entdeckten Tausende Einträge mit Anmeldedaten für Anwendungen in einem ungesicherten Backend-Panel. Die offengelegten Datensätze enthielten außerdem Geräteinformationen, Sperrbildschirmdaten und Finanzprofile.

Diese Einträge belegen jedoch nicht, wie viele Personen tatsächlich infiziert wurden. Die Gesamtzahl der Opfer bleibt unbekannt.

Serverseitige Validierung kann Banken helfen, Manipulationen zu erkennen

Die Ergebnisse verdeutlichen einen Ansatz, der Schutzmechanismen innerhalb von Banking-Apps angreift und gleichzeitig Prüfungen der umgebenden Geräteumgebung ins Visier nimmt.

Forscher empfehlen daher, Integritäts- und Attestierungsnachweise auf Servern zu validieren, die von den Banken kontrolliert werden. Außerdem raten sie dazu, diese Prüfungen an einzelne Sitzungen und sensible Aktionen zu binden.

Darüber hinaus sollten Banken die Verhaltensüberwachung und Kontrollen von Transaktionsrisiken aufrechterhalten, um verdächtige Aktivitäten besser identifizieren zu können.

Für Android-Nutzer umfassen die Empfehlungen, ihre Geräte auf dem neuesten Stand zu halten und APK-Downloads aus inoffiziellen App-Stores zu vermeiden. Regelmäßige Scans mit Play Protect bieten eine zusätzliche Vorsichtsmaßnahme gegen schädliche Software.