Dream zufolge ist dies bereits der zweite Fall dieser Art, den das Unternehmen in diesem Jahr dokumentiert hat. Im März beschrieb der Anbieter bereits eine trojanisierte Version der israelischen App „Red Alert“, die über eine Phishing-Kampagne verbreitet wurde.

Die aktuelle Kampagne setzt laut den Forschern auf eine Mischung aus Massenverbreitung, dem impliziten Vertrauen in vermeintlich von Behörden veröffentlichte Software und weitreichenden Berechtigungen, die bei staatlichen Warn-Apps plausibel wirken. Dream fasst das Prinzip so zusammen: Angreifer müssten nur eine offizielle App imitieren, „und die Angst erledigt den Rest“.

Einen exakten ursprünglichen Verbreitungsweg konnten die Forscher nicht bestimmen. Auf Basis ähnlicher Kampagnen vermuten sie jedoch, dass Nutzer über Smishing-Links sowie über Links in sozialen Medien und Messenger-Anwendungen auf gefälschte Zielseiten gelenkt wurden. Nach einem Klick landen Betroffene auf einer nachgebauten Google-Play-Seite, die sich als bahrainische Regierungsstelle ausgibt, etwa als Bahrain Civil Defense, Innenministerium oder Information and eGovernment Authority.

Diese Seiten wirken nach Angaben von Dream plausibel: Sie zeigen Regierungskennzeichnungen als Herausgeber, mehr als 100.000 Downloads, gefälschte Bewertungen und Hinweise, wonach die App sicher sei. Installiert und gestartet der Nutzer die Anwendung, beginnt die vierstufige Auslieferung der Malware.

Wie die Forscher erklären, tarnt sich die App als offizielle Zivilschutzanwendung und nutzt zweisprachige Inhalte auf Englisch und Arabisch, die Bahrain Civil Defense und das Innenministerium imitieren. Verweise auf das United Nations Office for Disaster Risk Reduction sollen zusätzliche Glaubwürdigkeit erzeugen. Als Einrichtung eines „Sirenenalarms“ getarnt, führt die App Nutzer durch eine Reihe von Berechtigungsabfragen, die wie notwendige Freigaben für Notfallwarnungen erscheinen. Tatsächlich dienen sie laut Dream zwei Zielen: der Installation des Payload-Pakets „com.kisa.octagonpanel“ und dem Erhalt der Rechte für eine dauerhafte Überwachung.

Die vier Phasen bestehen aus der Injektion der BH-Alert-Installer-DEX-Datei, der Installation und dem Start des ersten Payloads, der Injektion der Malware OctagonPanel und des Ward-Frameworks für Kommando- und Kontrollfunktionen, Überwachung und Fernoperationen sowie dem Aufbau und Erhalt einer vom Angreifer gesteuerten Überwachungssitzung.

OctagonPanel ist dabei laut Dream die zentrale RAT-Komponente. Sie kann SMS abfangen, Kontakte auslesen, Bildschirmfotos erstellen, über Bedienungshilfen Überwachung betreiben, Zugangsdaten stehlen, Phishing-Overlays für Banking-Apps einblenden, entfernte Geräte steuern und einen Neustart des Geräts überdauern. Dream weist darauf hin, dass ein kompromittiertes Mitarbeiter-Smartphone potenziell dazu genutzt werden könnte, MFA-Schutzmechanismen zu umgehen und Zugriff auf Unternehmensanwendungen zu erlangen.

Gegenüber Dark Reading erklärte ein Sprecher von Dream Research Lab per E-Mail, Organisationen könnten präventiv Mobile Device Management einsetzen, um Richtlinien durchzusetzen, Sideloading zu blockieren und festzulegen, welche Apps über ein VPN laufen dürfen. Ergänzt werden sollte das laut Dream durch Netzwerküberwachung. Diese könne die Malware nach der Aktivierung erkennen, weil sie sich mit einem konstanten Takt von etwa fünf Sekunden beim Kontrollserver meldet — ein auffälliges, wiedererkennbares Verkehrsmuster, das sich laut dem Sprecher auch ohne Entschlüsselung des Datenverkehrs feststellen lässt.