Android-Apps im Play Store verbreiten Banking-Malware Anubis

Trend Micro hat erneut zwei schädliche Apps im Google Play Store gefunden. Sie gaben sich dort als nützliche Tools aus, verteilten jedoch die Banking-Malware Anubis. Nach Angaben des Unternehmens wurden die beiden Apps inzwischen aus dem Online-Marktplatz entfernt.

Die Apps waren dort unter den Bezeichnungen Currency Converter und BatterySaverMobi erhältlich. Die Akku-App kam vor ihrer Löschung auf mehr als 5000 Downloads sowie eine 4,5-Sterne-Bewertung von insgesamt 73 Nutzern. Den Sicherheitsforschern zufolge waren viele Bewertungen jedoch anonym abgegeben worden beziehungsweise enthielten keinen Bezug zu der App.

Der in den Apps enthaltene Schadcode weist deutliche Übereinstimmungen mit den bisher bekannten Anubis-Varianten auf, weswegen Trend Micro auch die neue Kampagne dieser Malware-Familie zuordnet. Auch die Domain aserogeege.space, die als Befehlsserver genutzt wurde, soll in Verbindung zu Anubis stehen.

Neben aserogeege.space ordneten die Forscher insgesamt 18 weitere schädliche Domains der IP-Adresse 47.254.26.2. zu. Den regelmäßigen Wechsel der IP-Adresse werten sie zudem als Zeichen für eine hohe Aktivität der aktuellen Kampagne an.

Auffällig sind der Analyse von Trend Micro zufolge vor allem die Techniken, die die neue Anubis-Variante einsetzt, um einer Erkennung zu entgehen. Unter anderem fragt sie Daten der Bewegungssensoren ab, um zu festzustellen, ob sie auf einem echten Smartphone oder einer Sandbox für die Erkennung von Schadsoftware läuft. Sobald die Sensordaten den Schluss zulassen, dass sich Gerät und Nutzer nicht bewegen, wie in der Sandbox-Umgebung eines Emulators, wird der Schadcode nicht ausgeführt.

Die Anubis-Malware hat sich unter anderem in der App BatterySaverMobi versteckt, die ein angebliches System-Update nutzt, um die Malware zu installieren (Bild: Trend Micro).Wird jedoch ein echtes Smartphone erkannt, täuscht die App ein verfügbares Systemupdate für Android vor, um die eigentliche Schadsoftware Anubis einzuschleusen. Die wiederum fordert den Zugriff auf die Bedienungshilfen, um Kontoinformationen zu stehlen. Dafür nutzt Anubis einen eigenen Keylogger. Alternativ kann Anubis auch Screenshots aufnehmen, um Anmeldedaten abzugreifen.

„Unsere Daten zeigen, dass die jüngste Version von Anubis in 93 Ländern verteilt wurde und die Nutzer von 377 verschiedenen Finanz-Apps angreift“, teilte Trend Micro mit. Neben Daten von Bankkonten habe es Anubis auch auf Adresslisten und Standortdaten abgesehen. Die Malware sei zudem in der Lage, Umgebungsgeräusche aufzuzeichnen, SMS zu verschicken, Anrufe zu tätigen und auf den externen Speicher zuzugreifen.