Die Sicherheitsforscher von ESET haben dokumentiert, dass ScarCruft — auch als Ricochet Chollima oder APT37 bekannt — die BirdCall-Malware speziell für Android-Systeme adaptiert hat. Die Android-Version wurde über trojanisierte APK-Dateien auf der Plattform sqgame[.]net verbreitet, die primär Spiele für Android, iOS und Windows hostet.
BirdCall ist keine neue Malware-Familie. Sie ist seit 2021 bekannt und mit ScarCruft assoziiert. Die Windows-Version verfügt über umfangreiche Spionagefunktionen: Sie kann Tastatureingaben aufzeichnen, Bildschirmfotos machen, Zwischenablage-Inhalte auslesen, Dateien exfiltrieren und Befehle ausführen.
Die neu entwickelte Android-Variante stellt eine vorher unbekannte Mutation dar. Allerdings ist die Android-Version nicht vollständig feature-identisch mit ihrer Windows-Entsprechung. Einige Funktionen der Windows-Version fehlen auf Android noch: Shell-Befehlsausführung, Traffic-Proxying, das Abgreifen von Browser- und Messenger-App-Daten sowie Datei-Löschung und Prozess-Beendigung.
Die Zielgruppe ist hochspezifisch: Die Plattform sqgame[.]net richtet sich an Koreaner in der Yanbian-Region in der chinesischen Provinz Jilin — einem bekannten Übergangsgebiet für nordkoreanische Flüchtlinge und Überläufer. Dies deutet auf eine gezielte Spionagekampagne gegen politische oder militärische Ziele hin.
Die Infektionskette auf Windows-Systemen startet mit einer trojanisierten DLL-Datei (mono.dll), die das RokRAT-Malware-Framework herunterlädt und ausführt. Dieses installiert dann die Windows-Version von BirdCall.
ScarCruft ist für sein breites Arsenal an Custom-Malware bekannt. Neben BirdCall nutzt die Gruppe THUMBSBD (zielt auf isolierte Windows-Systeme), KoSpy (Android-Malware, die früher in Google Play eindrang), M2RAT (gezielte Spionage-Angriffe) und den Dolphin-Mobile-Backdoor.
Für Nutzer und Unternehmen empfehlen Sicherheitsexperten klare Maßnahmen: Software sollte ausschließlich aus offiziellen App-Stores und vertrauenswürdigen Herausgebern heruntergeladen werden. Das BSI rät zusätzlich zur regelmäßigen Überprüfung von Sicherheitsupdates und zur Aktivierung von Geräteverwaltungsfunktionen. Für Unternehmen ist eine Supply-Chain-Security-Strategie entscheidend, um trojanisierte Anwendungen frühzeitig zu erkennen.