22. Februar 2024, 12:05 Uhr | Lesezeit: 3 Minuten
Immer wieder gelingt es Hackern, infizierte Apps in den Google Play Store einzuschleusen und damit ihre Malware auf Android-Smartphones zu verbreiten. In einer aktuellen Kampagne gelangt so der Banking-Trojaner „Anatsa“ auf Geräte von Nutzern in Europa.
Neue Angriffswelle mit Banking-Trojaner
Anatsa ist eine bereits gut bekannte Schadsoftware, die die Sicherheitsforscher der Firma ThreatFabric kontinuierlich überwachen. Der Banking-Trojaner erscheint in Angriffswellen, die verschiedene geografische Regionen anvisieren. Im jüngsten Fall sind Länder in Europa betroffen. Dem aktuellen Bericht von ThreatFabric zufolge haben die Forscher erhöhte Aktivität des Trojaners in Deutschland, Slowakei, Slowenien, Spanien, Tschechien und UK festgestellt. Dort wurden mindestens 150.000 infizierte Geräte verzeichnet, wie ThreatFabric gegenüber „Bleeping Computer“ angegeben hat.
Die Hacker benutzen sogenannte „Dropper“-Apps, um den Banking-Trojaner auf Smartphones einzuschleusen. Diese Apps wirken nach außen hin wie legitime Apps, die in der Regel kostenlos zur Verfügung stehen. Die Angreifer konzentrieren sich dabei auf Genres, die eine hohe Nachfrage haben – wie im aktuellen Fall Cleaner-Apps, PDF-Reader und Datei-Manager. Damit gelingt es ihnen oft, im Play Store in der Top-Liste der kostenlosen Apps zu erscheinen. Das verleiht den Droppern mehr Sichtbarkeit und führt zu mehr Installationen. Die Apps lassen sich oft wie beschrieben nutzen – „droppen“ jedoch im Hintergrund die eigentliche Malware.
Lesen Sie weiter: Diese Malware-Kampagnen bedrohen derzeit Android-Geräte und iPhones
Achtung! Fast 150.000 Android-Smartphones mit Banking-Trojaner infiziert
5 Apps, die Ihr Bankkonto auf dem Handy bedrohen
Infizierte Apps können Entdeckung entgehen
Dem ThreatFabric-Bericht zufolge nutzen die Angreifer einen mehrstufigen Prozess, um den Banking-Trojaner Anatsa einzuschleusen. Damit können sie Sicherheitsvorkehrungen im Android-Betriebssystem bis Version 13 umgehen. Die entscheidende Rolle spielen dabei die Bedienungshilfen in Android, die Benutzern mit Einschränkungen die Bedienung ihres Smartphones vereinfachen sollen.
Direkt nach der Installation kommunizieren die Dropper-Apps mit einem Command-and-Control-Server (C2), um die erfolgte Installation zu registrieren. Der C2-Server konfiguriert eine sogenannte DEX-Datei, die den Download der Malware vorbereitet. Die Hacker können den Link auf die Malware dynamisch anpassen, sollte ein erster Versuch entdeckt werden. Erst dann sendet der Server den eigentlichen Banking-Trojaner an die App, um das Gerät zu infizieren. Anatsa bedient sich dabei der Programmierschnittstelle AccessibilityService, mit der die Installation Malware ohne Nutzereinwirken stattfindet. Die Apps erlangen Zugriff auf AccessibilityService, indem sie legitim wirkende Anfragen stellen. Laut ThreatFabric fordern Anatsa-Dropper etwa den Zugriff, um Apps mit hohem Akku-Verbrauch einzufrieren.
Ist der Banking-Trojaner einmal installiert, kann er das Smartphone übernehmen und finanzielle Transaktionen anstelle der Nutzer ausführen.
Diese Apps sollten Nutzer sofort löschen
Bislang hat ThreatFabric laut „Bleeping Computer“ fünf Apps identifiziert, die Teil der aktuellen Angriffswelle mit dem Banking-Trojaner Anatsa sind. Die Apps wurden insgesamt mehr als 150.000-mal installiert. Die Firma hat Google über ihre Ergebnisse informiert, das sie mittlerweile aus dem Play Store gelöscht hat. Alle betroffenen Apps stehen möglicherweise weiterhin in App-Archiven und Drittanbieter-Stores zur Verfügung.
Wer untenstehende Apps bereits installiert hat, sollte diese umgehend löschen.
- Phone Cleaner – File Explorer (com.volabs.androidcleaner)
- PDF Viewer – File Explorer (com.xolab.fileexplorer)
- PDF Reader – Viewer & Editor (com.jumbodub.fileexplorerpdfviewer)
- Phone Cleaner: File Explorer (com.appiclouds.phonecleaner)
- PDF Reader: File Manager (com.tragisoap.fileandpdfmanager)
Folgen Sie uns bei WhatsApp, um keine News rund ums Smartphone mehr zu verpassen!