Die Kampagne, die im März 2025 begann und bis mindestens Januar 2026 aktiv blieb, zeigt ein hochorganisiertes Betrügernetzwerk mit drei unterschiedlichen Malware-Varianten. Jede Variante ist speziell auf die technischen Gegebenheiten regionaler Mobilfunkbetreiber zugeschnitten.
Die ausgeklügeltste Variante zielt auf malaysische Nutzer ab. Sie automatisiert den kompletten Abonnement-Prozess durch mehrere Techniken: WebView-Automation, JavaScript-Injection und die Interception von Einmal-Passwörtern (OTP). Besonders raffiniert ist die Ausnutzung von Googles SMS Retriever API – eigentlich ein Sicherheitsfeature zur automatischen OTP-Erkennung. Die Malware missbraucht diese, um Bestätigungscodes im Hintergrund abzufangen. Zudem deaktiviert sie die WLAN-Verbindung und erzwingt damit den Datenverkehr über das Mobilfunknetz – eine Voraussetzung für viele Carrier-Billing-Systeme. Die Ziele sind klar definiert: DiGi, Celcom, Maxis und U Mobile in Malaysia. Bei nicht-kompatiblen Betreibern zeigt die App einfach nur harmlose Webseiten an, um Verdacht zu vermeiden.
Die zweite Variante für Thailand-Nutzer kombiniert direkte SMS-Betrug mit Browser-Session-Hijacking. Sie sendet automatisch SMS an kostenpflichtige Service-Nummern, während eine Fake-Webseite das Opfer ablenkt. Im Hintergrund greifen versteckte WebViews auf Carrier-Billing-Portale zu, stehlen Session-Cookies und halten authentifizierte Sitzungen aufrecht.
Die dritte Variante integriert ein Echtzeit-Reportingsystem über Telegram. Die Betreiber erhalten sofort Meldungen über Installationen, Berechtigungen und erfolgreiche Betrügereien – inklusive Geräte-ID, Betreiber-Daten und Timestamps. So konnten sie präzise verfolgen, welche gefälschten App-Namen und Distributionskanäle die höchsten Erfolgsquoten brachten.
Experten warnen: Das Problem liegt nicht nur bei Nutzern, sondern in der mobilen Ökosystem-Architektur selbst. Google Play und alternative App-Stores haben Vettungsprozesse, die mit den Missbrauchsmöglichkeiten nicht Schritt halten. Sicherheitsverantwortliche in Unternehmen sollten App-Installationen auf offizielle Stores beschränken und auf starke MFA-Methoden verzichten – SMS-basierte OTPs sind längst kompromittiert. Verizon’s aktueller Bericht zeigt: Mobile-gestützte Social-Engineering-Attacken sind 40 Prozent wirksamer als Email-Phishing.