Cyberkriminalität gegen die Benutzer von Mobiltelefonen, ist proportional zu deren massenhafter Nutzung angestiegen. Im Fokus sind meist Android-basierte Geräte. Schlicht, weil es so viele davon gibt. Aber auch iPhone-Nutzer sind nicht vor Smishing und andere Bedrohungen gefeit.
Smartphones bieten ein hohes Maß an Flexibilität. Davon profitieren allerdings auch Cyberkriminelle. In den meisten Fällen versuchen Smisher, personenbezogene Daten zu stehlen. Genauso kommt es aber vor, dass sie ihre Opfer dazu verleiten, Malware herunterzuladen und zu installieren. Die Malware tarnt sich entweder als legitime App oder der in einer Smishing-Nachricht enthaltene Link führt zu einer gefälschten Website. Smartphones werden nahezu flächendeckend im professionellen Unternehmenseinsatz verwendet. Damit ist Smishing auch für Unternehmen zu einer ernsthaften Bedrohung geworden.
FluBot – Neue Banking-Malware macht weiter von sich reden
Bereits im Dezember letzten Jahres tauchte eine neue Banking-Malware auf, die sich zunächst vornehmlich gegen Android OS-Nutzer in Spanien richtete, grundsätzlich sind aber iOS-Nutzer ganz genauso im Visier der Angreifer wie sich später zeigte. Nur die Taktik ist eine andere. Seit den ersten in „freier Wildbahn“ beobachteten Malware-Versionen von „FluBot“, benannt nach ihren grippeähnlichen Verbreitungswegen, wurde die Konfigurationsdatei seitdem mit etlichen neuen Funktionen aufgestockt. Erste Analysen wurden bereits im Januar veröffentlicht, und in der Folge haben mehrere Sicherheitsforscher die Weiterentwicklung der Kampagne dokumentiert und untersucht. Ein entscheidender Wendepunkt schien die konzertierte Aktion der spanischen Behörden mit PRODAFT zu sein. Am Tag als deren Analyse veröffentlicht wurde, gelang es nahezu zeitgleich vier der Verdächtigen zu verhaften. Die Infektionsrate ging zwar zurück, aber die Malware verbreitete sich weiterhin.
Die Kampagne folgt dabei einem so bewährten wie erfolgreichen Schema, nämlich Benachrichtigungen von Post- und Paketdiensten nachzuahmen. Die Benutzer erhalten SMS-Nachrichten, die auf den ersten Blick normale Tracking-Benachrichtigungen zu sein scheinen. Hinter diesen vermeintlich harmlosen SMS-Nachrichten vermutet das Bundesamt für Sicherheit in der Informationstechnik (BSI) eine neue Angriffswelle durch Smishing. Smishing ist eine spezielle Variante von Phishing-Angriffen via SMS. Wie beim Phishing werden beim Smishing gefälschte Nachrichten versandt, die zum Klicken auf einen Link verleiten sollen. In den aktuellen Fällen enthalten die SMS-Nachrichten meist einen Betreff wie „Ihr Paket kommt an“ oder ähnliches. Hinter der täuschend echten Tracking-SMS-Nachricht verbirgt sich dann der Trojaner. Sobald jemand den Link anklickt, ist er in der Lage auf dem Gerät Schadcode auszuführen.
Unmittelbar nach ihrer Installation beginnt die FluBot-Malware damit, die auf dem betreffenden Gerät installierten Apps zu tracken. Zu den Funktionalitäten von FluBot zählen:
- SMS-Nachrichten mitlesen und unterbrechen
- SMS-Nachrichten und automatisierte Spam-Listen an Kontakte versenden
- Bildschirm-Overlays/Injects sowohl für Bank- und Kryptowährungs-Apps als auch Phishing-Bildschirme zum Kreditkarten-Phishing
- Kontaktdaten abziehen
- Anrufe auslösen
- URLs öffnen
- PlayProtect deaktivieren
- USSD-Kommandos ausführen
- Apps deinstallieren
- SOCKS Proxy
Auch wenn FluBot bislang keiner bestimmten Gruppierung zuzuordnen ist, ist die Malware dennoch das Werk von Profis. Daten des Cybersicherheitsspezialisten Lookout zeigen, dass im Jahr 2020 fast 80 % der Phishing-Angriffe das Ziel hatten, Malware einzuschleusen. Es ist nicht das erste Mal, dass FluBot im Rahmen einer Phishing-Kampagne als Payload verwendet wird. Das zeigt wie problematisch Malware-as-a-Service (MaaS) generell ist. Zu dieser Gruppe zählt beispielsweise auch BancamarStealer. Lookout beobachtete im Jahr 2018 7.700 Samples dieser Malware, mit Stand März 2021 sind es 74.000. Flubot hat zusätzlich eine für eine Android-Malware eher ungewöhnliche Funktion. Die Malware verwendet nämlich einen Domain-Generierungs-
FluBot jetzt auch in Deutschland
Gerade in jüngster Zeit häufen sich insbesondere in Deutschland mobile Phishing-Kampagnen, die den Banking-Trojaner FluBot verbreiten. Die Phishing-Attacken werden per SMS-Nachricht zugestellt, vorgeblich als Versandbestätigungen der Deutschen Post oder von DHL. Android-Nutzer, die auf den Link klicken, werden auf eine Seite weitergeleitet, um dort eine mit FluBot infizierte App herunterzuladen, mit der man angeblich das Paket nachverfolgen kann. Einmal installiert kann die App SMS-Nachrichten abfangen und versenden, Bildschirm-Overlays anzeigen und Kontakte abziehen. Mittlerweile häufen sich aber die Angriffe auf iOS-Benutzer gleichermaßen. Sie werden
auf Phishing-Seiten weitergeleitet - angeblich Websites großer Banken. Dort sollen die Opfer verleitet werden, ihre Anmeldeinformationen einzugeben. Nachweislich ist es gerade der sogenannte „Credential Theft“, der für die überwiegende Mehrzahl schwerwiegender Datenschutzverletzungen und Datendiebstähle verantwortlich ist. Alternativ dazu können die betreffenden Seiten auch weitere Schad-Links enthalten.
Was tun? Im Verbund gegen Smishing
Produktivität und Sicherheit sollten nicht im Widerspruch zueinander stehen. Das setzt allerdings grundlegende betriebliche Veränderungen voraus, birgt aber auch die Chance, Kostenstruktur und Prozesse zu optimieren. Die anyplace IT versteht sich als „Modern Workplace Service Provider“ und berät Unternehmen dabei, betriebliche Anforderungen und Informationstechnologie gleichermaßen zu beachten – vom Endpunkt bis in die Cloud. An dieser Stelle arbeitet die anyplace IT mit Lookout als einem der drei deutschen Elite-Partner des Unternehmens zusammen, der höchsten Partnerstufe nach dem gerade vorgestellten, neuen Partnerprogramm.
Rainer Röckle, Geschäftsführer bei der anyplace IT zum Phänomen Smishing: „Smishing-Kampagnen nehmen definitiv weiter zu. Das Thema nimmt nicht nur in der aktuellen Berichterstattung bereits breiten Raum ein. Wir erhalten täglich Anrufe unserer Kunden, die aufgrund der Lage verunsichert sind. Darunter sehr viele, die bereits betroffen sind. Und betroffen ist in Deutschland die ganze Palette unterschiedlicher Branchen und Unternehmen aller Größenordnungen. Uns erreichen Anfragen von kleineren Mittelständlern ebenso wie von großen Zulieferern in der Automobilindustrie. Oftmals haben dort Benutzer auf die Links geklickt und die Kampagne hat sich bereits ausgebreitet. Phishing-Kampagnen dieser Art werden zunehmend personalisiert und individualisiert. Dadurch erscheinen sie noch vertrauenswürdiger. FluBot bildet da keine Ausnahme. Man darf zudem getrost davon ausgehen, dass der aktuelle Facebook-Leak der Verbreitung solcher Kampagnen einen zusätzlichen Schub verliehen hat. Die in einem Hacker-Forum veröffentlichte Liste enthält Handynummern von einer halben Milliarde Nutzer...“
Das BSI warnt ausdrücklich vor den aktuellen Smishing-Kampagnen und gibt Tipps wie man verhindert Opfer eines solchen Angriffs zu werden. Generelle Empfehlungen an den Endnutzer sind, den Absender über das Betriebssystem zu sperren, Apps nur aus bekannten App-Stores herunterzuladen, die Installation von Apps aus unbekannten Quellen unter Android zu deaktivieren, Betriebssysteme stets auf dem aktuellen Stand zu halten und beim Mobilfunkanbieter die Drittanbietersperre zu aktivieren. Wenn „es“ schon passiert ist, sollte man nach einer Datensicherung das Smartphone auf Werkseinstellungen zurücksetzen. Ein notwendiger Schritt, um die über die aktuellen SMS-Spam-Nachrichten verteilten Android-
Firmen sollten angesichts dieses Trends nicht auf einen umfassenden Phishing- und Content-Schutz verzichten. Endpoint-to-Cloud-
