Hacker überfluten Android-App-Stores mit Spyware-Apps

Unbekannte haben in verschiedenen Android-App-Stores, darunter auch Googles Play Store, mehr als tausend Spyware-Apps eingestellt. Die Apps sind in der Lage, nahezu sämtliche Aktivitäten eines infizierten Geräts zu überwachen, wie Forscher des Sicherheitsanbieters Lookout herausgefunden haben. Die SonicSpy genannte Schadsoftware kann demnach aus der Ferne gesteuert werden und 73 unterschiedliche Befehle ausführen.

Die Schadprogramme werden von ihren Hintermänner, die Lookout im Irak vermutet, als Messaging-Anwendungen getarnt. Sie bieten sogar die beworbenen Funktionen, um zu verhindern, dass Opfer die Apps als Malware erkennen. Im Hintergrund übertragen die Messenger-Apps jedoch persönliche Daten an einen Befehlsserver der Hacker im Internet.

Im Play Store entdeckten die Forscher drei aktive, gefährliche Apps mit den Namen „Soniac“, „Hulk Messenger“ und „Troy Chat“, die Google inzwischen gelöscht hat. In App Stores von Drittanbietern seien jedoch noch zahlreiche Varianten der SonicSpy-Apps erhältlich. Lookout schätzt, dass tausende Geräte infiziert wurden. Alleine die App Soniac kam im Play Store auf 1000 bis 5000 Downloads . Aufgrund der legitimen Funktionen erreichte sie sogar eine durchschnittliche Bewertung von 4,1 von 5 möglichen Sternen.

SonicSpy basiert auf odifizierter Version des Messengers Telegram

Wird SonicSpy auf einem Android-Smartphone oder –Tablet installiert, versteckt sich die Malware, indem sie ihr Launcher-Icon verbirgt. Über ihren Befehlsserver lädt sie eine modifizierte Version des Messengers Telegram herunter. Diese App bringt die beworbenen Messaging-Features und auch die schädlichen Funktionen. Unklar ist laut Lookout, ob es die Täter auf bestimmte Nutzer abgesehen haben oder ob sie versuchen, Daten von so viel Nutzern wie möglich zu sammeln.

Lookout hat im Play Store die angebliche Messaging-App Soniac entdeckt, in der sich die Spyware SonicSpy verbarg (Bild: Lookout).

Bei der Analyse des Codes von SonicSpy fanden die Forscher zudem Übereinstimmungen mit einer anderen Spyware namens Spynote, die erstmals Mitte 2016 beschrieben wurde. Unter anderem nutzen beide dynamische DNS-Dienste und sowie den wenig gebräuchlichen Port 2222. Lookout geht deswegen davon aus, dass die Programme von derselben Hackergruppe stammen. Die Gruppe, die sich selbst „Iraqwebservice“ nennt, habe zudem schon früher Schadcode in Apps mit legitimen Funktionen versteckt.

Michael Flossman, Security Research Services Tech Lead bei Lookout, schließt nicht aus, dass SonicSpy-Apps erneut ihren Weg in den Play Store finden. „Die Hintermänner haben gezeigt, dass sie in der Lage sind, Spyware in den offiziellen Store einzuschleusen, und da sie aktiv weiterentwickelt wird und automatisierte Prozesse nutzt, ist es wahrscheinlich, dass SonicSpy künftig wieder auftaucht.“

[mit Material von Danny Palmer, ZDNet.com]

Tipp: Sind Sie ein Android-Kenner? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de