Malwarebytes löscht „unlöschbare“ Android-Malware xHelper

Malwarebytes hat eine Möglichkeit gefunden, Android-Geräte, die mit der Schadsoftware xHelper verseucht sind, zu bereinigen. Bisher galt die Malware, die erstmals im März 2019 entdeckt wurde, als „unlöschbar“ – selbst, wenn ein infiziertes Smartphones oder Tablet auf die Werkseinstellungen zurückgesetzt wird, kann sich xHelper erneut installieren.

Eigentlich ist xHelper ist erster Linie ein großes Ärgernis. Nutzer belästigt der Schädling mit aufdringlichen Pop-ups und unerwünschten Benachrichtigungen – eine wirkliche Gefahr stellt xHelper eigentlich nicht dar.

Im August 2019 hatte Malwarebytes bereits 32.000 mit xHelper infizierte Geräte gezählt. Symantec meldete im Oktober nach einer eigenen Analyse mindestens 45.000 befallene Geräte. Der Sicherheitsanbieter errechnete daraus, dass sich die Zahl der Opfer monatlich um rund 2400 erhöht.

Die Verbreitung soll über Weiterleitungen erfolgen, die Nutzer zu Websites mit Installationsdateien für Android-Apps führen und mit Anleitungen für Sideloading dazu verleiten, diese Apps auf ihren Geräten einzurichten. In diesen Apps enthaltener Code lädt schließlich xHelper herunter.

Allerdings gelang es den Forschern von Malwarebytes und auch Symantec anfänglich nicht, xHelper wieder zu entfernen. Sie mussten die Berichte von Nutzern bestätigen, wonach die Malware auch ein Factory Reset übersteht und sich ohne irgendeine Interaktion mit dem Nutzer erneut auf dem frisch eingerichteten Gerät einnistet.

Lediglich eine vollständige Neuinstallation des gesamten Android-Betriebssystem schaffte Abhilfe. Allerdings ist dies eine Lösung, die nicht alle Gerätehersteller ab Werk beziehungsweise offiziell anbieten.

Ende vergangener Woche machte Malwarebytes nun eine Methode öffentlich, mit der sich xHelper entfernen lassen soll. Demnach richtet xHelper auf einem Android-Gerät Verzeichnisse und Dateien ein, die beim Zurücksetzen auf die Werkseinstellungen nicht automatisch entfernt werden. In einem Blogeintrag hält das Unternehmen eine Anleitung bereit, um mithilfe eines Dateimanagers und der kostenlosen App Malwarebytes für Android diese Verzeichnisse zu finden und zu löschen.

Unklar ist weiterhin, wie xHelper die Google Play Services dazu bringt, nach einem Factory Reset aus diesen Verzeichnissen heraus xHelper erneut zu installieren. Aus diesem Grund muss während des Löschvorgangs auch der Google Play Service deaktiviert werden, was ebenfalls in der Anleitung beschrieben wird.

„Dies ist bei weitem die schlimmste Infektion, der ich als mobiler Malware-Forscher begegnet bin. In der Regel wird selbst die schlimmste Infektion durch einen Factory Reset, der die letzte Option darstellt, behoben. Ich kann mich an keinen Fall erinnern, bei dem eine Infektion nach einem Factory Reset fortbestand, es sei denn, das Gerät wurde mit vorinstallierter Malware geliefert. Diese Tatsache hat mich versehentlich auf den falschen Weg gebracht“, sagte Nathan Collier, Senior Malware Intelligence Analyst bei Malwarebytes. Mit Hilfe einer hartnäckigen Nutzerin des Malwarebytes-Forums sei er letztlich doch zu einer Lösung gekommen.