Android-Malware: App liest Passwörter und Bank-PINs mit

Die jüngste Android-Malware-Variante zeigt, wie weit Angriffe auf Handys inzwischen gehen können. Statt sich nur auf gefälschte Login-Seiten oder das Abfangen einzelner Nachrichten zu verlassen, kombinieren Kriminelle verschiedene Techniken, um möglichst umfassenden Zugriff auf ein Gerät zu erhalten. Besonders gefährlich wird das, wenn auf dem Smartphone Banking-Apps genutzt oder sensible Passwörter eingegeben werden.

Die Android-Malware trägt den Namen RatHat und wurde von Sicherheitsforschenden des Unternehmens Zimperium untersucht. Laut der technischen Analyse der Expert*innen gelangt die neueste Version des Schädlings vor allem über manipulierte Webseiten auf Smartphones. Verbreitet werden die Links unter anderem per SMS-Phishing, betrügerischer Werbung und über Drittanbieter-Portale. Dort sollen Betroffene eine APK-Datei installieren, die sich als vertrauenswürdige App ausgibt.

Hat sich RatHat über die heruntergeladene Anwendung auf dem Gerät festgesetzt, kann die Schadsoftware gefälschte Oberflächen über echte Banking- und Zahlungs-Apps legen. Nutzer*innen glauben dann beispielsweise, ihre Zugangsdaten innerhalb der regulären Anwendung einzugeben, tatsächlich landen sie bei den Angreifenden. Zimperium zufolge kann RatHat außerdem SMS und Benachrichtigungen auslesen und damit auch Einmalcodes für die Zwei-Faktor-Authentifizierung abfangen.

Topaktuell

KI macht den Angriff flexibler

Besonders gefährlich ist, dass die Android-Malware viele Schritte selbstständig ausführen kann. RatHat nutzt dafür Funktionen des Handy-Betriebssystems, die eigentlich Menschen mit Einschränkungen bei der Bedienung helfen sollen. Darüber kann die Software Einstellungen verändern und Funktionen einschalten, die normalerweise vor allem Entwickler*innen benötigen. Anschließend versucht sie, sich zusätzliche Zugriffsrechte auf dem Smartphone zu verschaffen. Eine KI hilft RatHat dabei, Schaltflächen, Menüs und andere Elemente auf dem Bildschirm zu erkennen. Dadurch kann sie flexibler reagieren und das Handy ähnlich bedienen wie ein Mensch.

Noch problematischer ist der Zugriff auf Eingaben. Nach Angaben von Zimperium kann ein Bestandteil von RatHat rohe Touch-Koordinaten erfassen und daraus mithilfe hinterlegter Tastatur-Layouts rekonstruieren, welche Zahlen oder Muster eingegeben wurden. Dadurch können unter Umständen PINs und Entsperrmuster erfasst werden, obwohl Android die eigentliche Eingabe auf dem Bildschirm schützt. Gleichzeitig versucht der Schädling, seine Entfernung zu verhindern: Ein gefälschter Fehlerbildschirm kann eine Deinstallation vortäuschen. Selbst nach erfolgreichem Löschen konnte ein außerhalb der eigentlichen App laufender Dienst laut Zimperiums Untersuchung die Schadsoftware erneut installieren.

Betroffene sollten die App nicht einfach ignorieren

Wer eine verdächtige Anwendung außerhalb des Play Stores installiert hat, sollte sie deshalb umgehend löschen und das Smartphone überprüfen, wie unter anderem Google empfiehlt. Außerdem sollten Android- und Google-Play-Systemupdates installiert werden. Bleiben anschließend Anzeichen einer Infektion bestehen, kann ein Zurücksetzen des Geräts auf die Werkseinstellungen notwendig werden.

Wurden dagegen bereits Banking-Zugangsdaten, PINs oder andere Passwörter auf einem möglicherweise infizierten Smartphone eingegeben, ist zusätzlich schnelles Handeln sinnvoll. Die Polizeiliche Kriminalprävention rät bei möglicherweise kompromittierten Onlinebanking-Daten, den Bankzugang zu sperren, die Bank über einen vertrauenswürdigen Kontaktweg zu informieren und neue Zugangsdaten zu verwenden.

Auch Passwörter anderer betroffener Konten sollten von einem sauberen Gerät aus geändert werden. Denn dass sich RatHat selbst nach einer vermeintlich erfolgreichen Deinstallation wieder einnisten kann, macht den Schädling zu einer besonders hartnäckigen Android-Malware.

Quellen: Zimperium, Google, Polizeiliche Kriminalprävention