USU World 2018
06.06.18 - 07.06.18
In World Conference Center Bonn

CEBIT 2018
11.06.18 - 15.06.18
In Hannover

ERP Tage Aachen
19.06.18 - 21.06.18
In Aachen

next IT Con
25.06.18 - 25.06.18
In Nürnberg

XaaS Evolution 2018
01.07.18 - 03.07.18
In H4 Hotel Berlin Alexanderplatz

Android VirusPalo Alto Networks hat mehrere neue Samples der Android-Adware-Familie „Ewind“ beobachtet und teilt heute seine Erkenntnisse mit.

Die Kriminellen hinter dieser Adware nutzen einen einfachen, aber effektiven Ansatz: Sie laden eine beliebte, reguläre Android-App herunter, dekompilieren sie, fügen ihre schädlichen Routinen hinzu und verpacken dann das Android-Anwendungspaket (APK) neu. Sie verteilen dann die „trojanisierte“ Anwendung über ihre eigenen Android-App-Sites.

Fernzugriff auf infizierte Geräte

Zu den beliebtesten Android-Anwendungen, auf die es Ewind abgesehen hat, zählen GTA Vice City, AVG cleaner, „Minecraft - Pocket Edition, Avast!“, Ransomware Removal, VKontakte und Opera Mobile. Grundsätzlich handelt es sich bei Ewind um Adware -die Monetarisierung erfolgt also durch die Anzeige von Werbung auf dem Opfer-Gerät. Aber: Ewind enthält jedoch auch andere Funktionen wie das Sammeln von Gerätedaten und Weiterleiten von SMS-Nachrichten an den Angreifer. Die Trojaner-Adware ermöglicht vermutlich sogar einen vollständigen Fernzugriff auf das infizierte Gerät. Die Apps, die injizierte Werbung, die App-Server-Standorte und, so die Indizien, auch die Angreifer sind alle russischen Ursprungs.

Verdächtiges Zertifikat

Palo Alto Networks hat mit seinem Cloud-Dienst AutoFocus eine große Anzahl von umverpackten APKs beobachtet, die mit demselben verdächtigen Zertifikat signiert sind. Mit dem Kommandozeilen-Tool keytool haben die Forscher einige eindeutige Signaturzertifikat-Elemente gefunden. Der Verdacht erhärtete sich dadurch, dass viele der APKs Namen von Anti-Virus-Produkten wie AVG Cleaner und anderen bekannten Apps enthielten. Bei einem Sample des neu verpackten „AVG Cleaner“ konnten die hinzugefügten Trojaner-Komponenten in der Datei AndroidManifest.xml auf einfache Weise identifiziert werden. Diese Trojaner-Funktionen ermöglichen es unter anderem, dass Ewind Umgebungsdaten vom Gerät sammelt und an einen Command-and-Control-Server (C2-Server) sendet.

Zudem gibt es einen Befehl, der Ewind anweist, „AdminActivity“ zu öffnen, um so Administratorzugriff auf das Gerät zu erhalten. Ein Vorteil, den die Akteure dadurch gewinnen, ist, dass es für einen technisch nicht-versierten Benutzer etwas schwieriger ist, die mit dem Trojaner versehene App zu deinstallieren.

Interessant zu beobachten war auch: Obwohl Ewind prüft, ob das Gerät „jailbroken“ ist, kein Code-Pfad erkennbar war, der diese Funktionalität ausnutzt. Klar ist derzeit jedoch, dass Ewind für mehr als nur die Darstellung von Anzeigen verwendet wird und vom C2-Server Anweisungen erhält, um bestimmte Aktionen auszuführen.

Während der Tests erhielt das Opfergerät nur bei der Nutzung von finanzbezogenen Apps den Befehl, Werbung auf dem Display darzustellen. Die einzige Anzeige, die an die „Testopfer“ geschickt wurde, stammte von der URL mobincome[.]org/banners/banner-720x1184-24.html. Wenn das Opfer auf die Werbeanzeige klickt, wird die Anwendung „mobCoin“ aus dem App-Store androidsky[.]ru heruntergeladen. Zu der Zeit, als die Forscher das Ewind-Sample analysierten, funktionierte der Download-Link jedoch nicht. Die Forscher fanden jedoch ein mit Ewind „trojanisiertes“ Sample der MobCoin-App.

Zwei-Faktor-Authentifizierung ausgehebelt

Eine weitere Kommunikationsfunktion ist „type=timer“, die als Keep-Alive-Funktion dient. Ewind überträgt in vordefinierten Intervallen (meist 180 plus/minus einer zufälligen Anzahl von Sekunden) eine Anfrage. In der Regel ist dies wenig von Interesse, aber die Forscher haben beobachtet, dass der Server einmal pro Tag auf diese Anfrage mit einer aktualisierten Liste von Zielanwendungen antwortet.

Ewind kann zudem mit dem Befehl „smsFilters“ angewiesen werden, alle SMS-Nachrichten an den C2-Server weiterzuleiten, die ein bestimmtes Filterkriterium erfüllen, etwa eine Telefonnummer oder ein Nachrichtentext. Diese Funktionalität dient wahrscheinlich dazu, um die Zwei-Faktor-Authentifizierung per SMS zu kompromittieren.

www.paloaltonetworks.com
 

GRID LIST
Tb W190 H80 Crop Int 3d92b16f38ec40420417ec6e95879516

Versteckte Malware lauert häufig im Verborgenen

Der erschienene Verizon Data Breach Investigations Report 2018 offenbart das Ausmaß der…
Gérard Bauer

Vermeintlich russische Cyberattacken auf westliche IT-Infrastrukturen

Am Montag erklärten das US-Heimatschutzministerium, das FBI und das britische National…
Paul Parker

Cybersecurity im Gesundheitswesen

Nach Ansicht von Paul Parker, Cheftechnologe des Geschäftsbereichs für Regierungsbehörden…
Tb W190 H80 Crop Int 0a77a97abba355a6171f9e666819821a

Minecraft: Spieler sind von Schadsoftware in modifizierten „Skins“ bedroht

Eine Datenanalyse der vergangenen 30 Tage von Avast ergab, dass nahezu 50.000…
Tb W190 H80 Crop Int Cb37aa6c2115131c19c11ce3765ccfaf

Linux-Update mit Spectre- und Meltdown-Absicherung

Linux-Version 4.16 ist freigegeben. Neben einer optimierten Akkulaufzeit überzeugt die…
Kryptomining

Kryptomining – des einen Gewinn, des anderen Verlust

Kryptowährungen sind derzeit in aller Munde. Doch während sich das sogenannte Schürfen,…
Smarte News aus der IT-Welt

IT Newsletter


Hier unsere Newsletter bestellen:

 IT-Management

 IT-Security