Die Sicherheitsfirma Cleafy hat Mirax als außergewöhnlich ausgefeilten Android-Trojaner dokumentiert, der als Malware-as-a-Service (MaaS) über gestaffelte Abonnementpläne an eine begrenzte Anzahl von Affiliates verteilt wird — überwiegend russischsprachigen Cyberkriminellen.
Verbreitungsstrategie über Meta-Plattformen
Das Infektionsvehikel ist ausgeklügelt: Die Angreifer schalten Werbeanzeigen auf den Meta-Plattformen Facebook, Instagram und Messenger, die auf gefälschte IPTV-Anwendungsseiten verweisen. Diese Seiten leiten zu Malware-Dropper weiter, die auf GitHub gehostet werden. Da Mirax nicht über Google Play verbreitet wird, müssen Nutzer zunächst die Installation aus unbekannten Quellen aktivieren. Der Trick funktioniert: Nach Cleafys Analyse haben mehr als 200.000 Nutzer die bösartigen Anzeigen zu sehen bekommen.
Technische Analyse der Malware
Mirax nutzt fortgeschrittene Verschleierungstechniken. Die Payload wird mit Golden Encryption (auch Golden Crypt genannt) gepackt und versteckt den bösartigen Code in einer verschlüsselten Dalvik Executable (.dex)-Datei. Der RC4-Stream-Cipher mit hardcoded Schlüssel entschlüsselt den Code erst während der Installation, was viele Sicherheitsmechanismen umgehen soll.
Das Trojaner-Arsenal ist beeindruckend: Mirax kann Bildschirminhalte in Echtzeit anzeigen, Geräte vollständig fernsteuern, Anwendungen verwalten, sowie Bilder und Texte exfiltrieren. Über Overlay- und Notification-Injection werden Nutzer-Zugangsdaten gestohlen.
Die Proxy-Funktionalität als Novum
Besonders bemerkenswert ist eine weitere Kapazität: Mirax kann infizierte Geräte in Residential-Proxy-Knoten umwandeln. Dabei wird ein SOCKS5-Proxy mit WebSocket-basiertem Multiplexing installiert, das mehrere gleichzeitige Verbindungen unterstützt. Cleafy warnt, dass dies eine Neuheit im Bereich Android-RATs darstellt und erhebliche Implikationen für sensible Sektoren wie Banken haben könnte — sowohl für Betrugsschutz als auch für Sicherheitsinfrastrukturen.
Risiken für deutsche Nutzer und Unternehmen
Als europäisches Zielgebiet sind auch deutsche Nutzer potenzielle Opfer. Besonders problematisch ist die Verbreitungsmethode über legitim wirkende Social-Media-Werbung. Unternehmen sollten ihre Mitarbeiter für diese Gefahr sensibilisieren, insbesondere beim Download von Anwendungen außerhalb offizieller App-Stores. Die Fähigkeit von Mirax, Geräte als Proxy-Knoten zu missbrauchen, könnte zudem für organisierte Cyberkriminalität und gezielte Hackerangriffe gegen deutsche Institutionen instrumentalisiert werden.