Android-Malware Perseus tarnt sich als IPTV-Apps und durchsucht Notiz-Apps

Zusammenfassung

Sicherheitsforscher von ThreatFabric haben eine neue Android-Malware namens Perseus entdeckt, die sich in Apps für TV-Streaming versteckt, um Passwörter und Bankdaten zu stehlen und persönliche Notizen der Nutzer auszuspähen. Laut einem am Donnerstag veröffentlichten Bericht wird die Schadsoftware aktiv verbreitet und zielt vor allem auf Nutzer in der Türkei und Italien. Perseus baut auf dem geleakten Code älterer Android-Banking-Trojaner auf, darunter Cerberus, dessen Quellcode 2020 offengelegt wurde. Um Geräte zu infizieren, tarnen die Angreifer die Malware in Apps, die vorgeblich IPTV-Dienste anbieten – also Plattformen, die Fernsehinhalte über das Internet streamen. Solche Apps werden häufig auch zum Streamen raubkopierter Inhalte genutzt und oft außerhalb offizieller Marktplätze wie Google Play heruntergeladen. Nutzer sind dadurch eher daran gewöhnt, sie manuell zu installieren, und schöpfen seltener Verdacht. Besonders auffällig ist laut ThreatFabric, dass Perseus es gezielt auf Notiz-Apps abgesehen hat – ein bislang ungewöhnlicher Fokus, da solche Anwendungen sensible Daten wie Passwörter oder Wiederherstellungsphrasen enthalten können.

Die von ThreatFabric als Perseus bezeichnete Malware wird derzeit aktiv in freier Wildbahn verbreitet und richtet sich vornehmlich gegen Nutzer in der Türkei und in Italien. Grundlage des Schädlings ist der geleakte Code älterer Android-Banking-Trojaner. Dazu zählt insbesondere Cerberus, eine weit verbreitete Malware-Familie, deren Quellcode 2020 offengelegt wurde.

Für die Infektion setzen die Angreifer auf Tarnung: Perseus steckt in Apps, die vorgeblich IPTV-Dienste anbieten und Fernsehinhalte über das Internet streamen. Da solche Apps auch zum Abspielen raubkopierter Inhalte genutzt und häufig außerhalb von Plattformen wie Google Play geladen werden, sind Nutzer die manuelle Installation gewohnt und halten den Vorgang seltener für verdächtig.

Nach der Installation kann Perseus nahezu alle Aktivitäten eines Nutzers in Echtzeit überwachen. Dabei kommen sogenannte Overlay-Angriffe zum Einsatz, bei denen gefälschte Anmeldebildschirme über legitime Apps gelegt werden. Ergänzend zeichnet ein Keylogger eingegebene Zugangsdaten auf.

Als ungewöhnlichstes Merkmal hebt ThreatFabric den Fokus auf persönliche Notiz-Apps hervor. Perseus durchsucht infizierte Geräte gezielt nach Anwendungen wie Google Keep, Evernote und Simple Notes, öffnet sie und liest die gespeicherten Inhalte aus. Notizen können den Forschern zufolge hochsensible Informationen enthalten – darunter Passwörter, Finanzdaten und Wiederherstellungsphrasen –, was sie für Angreifer zu einem wertvollen Ziel macht.

Android-Malware entwickelt sich laut ThreatFabric fortlaufend weiter und greift auf neue Techniken zurück, um das Vertrauen der Opfer zu gewinnen und einer Erkennung zu entgehen. So identifizierten Forscher in diesem Monat mit Herodotus einen weiteren Android-Banking-Trojaner, der menschliches Verhalten nachahmen kann, um bei der Fernsteuerung eines Geräts unentdeckt zu bleiben. Eine andere Schadsoftware namens Crocodilus kann die Kontaktlisten der Opfer manipulieren und es Angreifern so ermöglichen, sich als vertrauenswürdige Stellen wie etwa Banken auszugeben.

Android-Malware Perseus tarnt sich als IPTV-Apps und durchsucht Notiz-Apps

Ähnliche Artikel

Neueste Artikel