45.000 infizierte Geräte: Neue Android-Malware übersteht auch Factory Reset

In den vergangenen sechs Monaten hat sich eine neue Android-Malware auf rund 45.000 Geräten eingenistet. Der xHelper genannte Schädling, der seitdem unter anderem von Malwarebytes und Symantec untersucht wurde, hat eine sehr lästige Besonderheit: Selbst wenn ein infiziertes Smartphone oder Tablet auf die Werkseinstellungen zurückgesetzt wird, kann sich xHelper erneut installieren.

Symantec fand nun heraus, dass die Schadsoftware derzeit rund 131 neue Opfer täglich findet und somit jeden Monat weitere 2400 Geräte befällt. In erster Linie soll sich xHelper in Indien, den USA und Russland verbreiten.

Die Verbreitung erfolgt laut Malwarebytes über Weiterleitungen, die Nutzer zu Websites mit Installationsdateien für Android-Apps führen und mit Anleitungen für Sideloading dazu verleiten, diese Apps auf ihren Geräten zu installieren. In diesen Apps enthaltener Code lädt schließlich xHelper herunter.

Die Analysen von Malwarebytes und Symantec ergaben zudem, dass xHelper vor allem für die Einblendung von Pop-up-Anzeigen und Spam-Benachrichtigungen benutzt wird – einem Smartphone an sich also nicht schadet. Benachrichtigungen und Anzeigen leiten Nutzer wiederum in den Play Store, um weitere Apps zu installieren, wofür die Hintermänner wiederum eine Provision erhalten.

Um seine Löschung zu verhindern, was xHelper von anderen Android-Schädlingen unterscheidet, richtet er sich als eigenständiger Dienst ein. Nutzer können die eigentliche App zwar deinstallieren, nicht aber den Dienst, der weiterhin die Funktionen der App ausführt, sprich unerwünschte Werbung einblendet.

Auch eine Löschung des xHelper-Diensts funktioniert nicht, da sich die Malware erneut installieren kann. Das schafft sie auch nach einem Factory Reset, bei dem eigentlich alle vom Nutzer erzeugten Daten, also auch Schadsoftware, entfernt werden sollten.

Unklar ist derzeit noch, wie xHelper es schafft, das Zurücksetzen auf die Werkseinstellungen zu überleben. Malwarebytes und Symantec schließen bisher lediglich aus, dass xHelper Systemdienste oder System-Apps manipuliert. Symantec hält es zudem für unwahrscheinlich, dass xHelper bereits vor der Auslieferung auf Android-Geräte gelangt.

Berichten von Nutzern zufolge ist xHelper auch in der Lage, die Einstellung für das Installieren von Apps aus unbekannten Quellen zu aktivieren. Unter Umständen sollen jedoch kostenpflichtige Versionen einiger Sicherheitsanwendungen xHelper entfernen können – anderen Usern gelang dies jedoch nicht.

Symantec geht zudem davon aus, dass xHelper kontinuierlich weiterentwickelt wird. Deswegen scheiterten Sicherheitsanwendungen immer wieder bei der Löschung der Malware.

Sorgen bereitet Malwarebytes und Symantec zudem eine bisher nicht genutzte Funktion von xHelper. Der Schädling kann nämlich weitere Apps herunterladen und installieren. Es wäre also möglich, dass Cyberkriminelle xHelper künftig nutzen, um beispielsweise Ransomware oder Banking-Trojaner einzuschleusen.