Trojaner auf chinesischen Android-Smartphones entdeckt

Der Sicherheitsanbieter Dr. Web warnt vor einem Trojaner, der offenbar auf fabrikneuen Geräten chinesischer Smartphone-Hersteller vorinstalliert ist. Der Triada genannte Schädling ist in eine Systembibliothek eingebettet, die zum Zygote-Prozess des Mobilbetriebssystems Android gehört. Darüber kann die Malware nahezu alle installierten Apps manipulieren.

Der Hintergrunddienst Zygote ist für den Start jeglicher Android-Apps verantwortlich. Die infizierte Bibliothek libandroid_runtime.so wiederum erlaubt es dem Trojaner, jedes Mal wenn ein Eintrag ins Systemlog vorgenommen wird, die Kontrolle zu übernehmen.

Die Hauptaufgabe von Triada ist das Ausführen zusätzlicher schädlicher Module, die in die Prozesse legitimer Anwendungen injiziert werden. „Zum Beispiel können Virus-Programmierer einen Trojaner erstellen, der schädliche Plug-ins für den Diebstahl persönlicher Daten einer Banking-App herunterlädt und ausführt“, heißt es im Blog von Dr. Web. Es seien aber auch Spionage-Module für das Abfangen von Nachrichten von Sozialen Medien oder Messenger-Anwendungen denkbar.

Dr. Web weist zudem darauf hin, dass sich der Triade-Trojaner nicht mit „Standard-Methoden“ entfernen lässt, da er Bestandteil einer Systembibliothek und im Systembereich gespeichert ist. „Die einzige sichere und zuverlässige Methode, um den Trojaner loszuwerden, ist die Neuinstallation der Android-Firmware.“ Dabei gehen jedoch alle nicht gesicherten Daten verloren.

Den Trojaner entdeckten die Forscher unter anderem auf Smartphones der OEMs Leagoo und Nomu. Während Produkte von Leagoo hierzulande offenbar nicht angeboten werden, finden sich im Amazon Marketplace Angebote für die betroffenen Modelle S10 und S20 von Nomu.

Die laut Dr. Web betroffenen Smartphones S10 und S20 des chinesischen Herstellers Nomu sind auch hierzulande erhältlich und möglicherweise mit einem Trojaner infiziert (Screenshot: ZDNet.de).

Vorinstallierter Trojaner: Entwickler der Firmware vermutlich beteiligt

Wie der Trojaner in die Android-Systembibliothek gelangte, ist indes unklar. Dr. Web zufolge ist davon auszugehen, dass Insider bei den Herstellern oder Partner, die an der Entwicklung der Firmware beteiligt waren, für das Einschleusen das Schadcodes verantwortlich sind.

In dem Zusammenhang weist Kryptowire darauf hin, dass der amerikanische Smartphone-Hersteller Blu Geräte anbietet, auf denen Software des chinesischen Unternehmens Shanghai Adups Technology installiert ist. Sie soll im Hintergrund Nutzerdaten sammeln und an Server in China übermitteln. Kryptowire betont, dass die Daten nicht anonymisiert werden und von daher Rückschlüsse auf den jeweiligen Nutzer zulassen.

Während Blu die Software verteidigte und auf seine Datenschutzrichtlinie verwies, entfernte Amazon nun die betroffenen Blu-Smartphones in den USA aus seinem Sortiment. „Da Sicherheit und Privatsphäre unserer Kunden oberste Priorität haben, wurden alle Blu-Modelle aus dem Angebot von Amazon.com entfernt, bis das Problem gelöst wurde“, teilte der Online-Händler mit.

[mit Material von Roger Cheng und Alfred Ng, News.com]

Tipp: Sind Sie ein Android-Kenner? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de