PhantomLance: Hacker schleusen wiederholt Malware in Google Play Store ein

Kaspersky hat eine Hacking-Kampagne namens PhantomLance aufgedeckt, in deren Verlauf offenbar über einen Zeitraum von mehreren Jahren staatlich unterstützte Spione Schadsoftware in den Google Play Store eingeschleust haben. Ihre Angriffe richteten sie gegen Nutzer in Vietnam, Bangladesch, Indonesien und Indien.

Im Unterschied zu gewöhnlichen Cyberkriminellen waren die Hintermänner der Kampagne nicht darauf aus, möglichst viele Geräte zu infizieren. Stattdessen beschränkten sie sich auf wenige Hundert Nutzer, die gezielt attackiert wurden. Kaspersky geht davon aus, dass die Opfer mit Phishing-E-Mails zur Installation der schädlichen Apps verleitet wurden. „In diesem Fall nutzen die Angreifer Google Play als vertrauenswürdige Quelle“, sagte Kaspersky-Forscher Alexey Firsh im Gespräch mit Wired. „Sie stellen einen Link zu der App bereit und das Opfer wird ihm vertrauen, weil es Google Play ist.“

Erstmals wurden Forscher von Dr. Web im Juli 2019 auf PhantomLance aufmerksam. Sie entdeckten im Play Store einen schädliche App, die sich in einer Grafik-Design-Software versteckte. Sie war in der Lage, das Adressbuch auszulesen und Anruflisten und Textnachrichten von Android-Smartphones zu stehlen. Kaspersky-Forscher fanden im November einen ähnliche schädliche App, die sich als Tool zum Löschen des Browser-Cache tarnte. In beiden Fällen war es den Hintermännern möglich, die Schadsoftware um weitere Funktionen zu erweitern.

Bei einer weiteren Analyse spürte Kaspersky ähnliche Spyware-Apps auf, die zum Teil schon im Jahr 2015 eingestellt beziehungsweise von Google aus seinem Marktplatz entfernt worden waren. Diese Apps waren offenbar auf vietnamesische Nutzer ausgerichtet. Um nicht aufzufallen, hätten die Entwickler der Malware jeweils neue Google-Konten und sogar eigene GitHub-Repositories angelegt. Insgesamt hätten solche Apps versucht, die Smartphones von rund 300 Kaspersky-Kunden zu infizieren.

In den Play Store schafften es die Spionage-Tools, weil deren Entwickler die schädlichen Funktionen erst im Nachhinein hinzufügten. „Wir glauben, dass ist die Hauptstrategie dieser Leute“, ergänzte Firsh. In einigen Fällen hätten die Apps zudem versucht, sich Root-Rechte zu sichern, um das Berechtigungssystem von Android zu umgehen. Den dafür genutzten Code konnten die Kaspersky-Forscher nach eigenen Angaben bisher aber nicht finden.

Die Forscher vermuten jedoch, dass hinter der Kampagne eine als APT32 oder OceanLotus bezeichnete Gruppe steckt, der wiederum nachgesagt wird, im Auftrag der vietnamesischen Regierung zu handeln. Ziel der PhantomLance-Kampagne wäre es also, eigene Bürger sowie Personen in den Nachbarstaaten auszuspionieren. Die Zuordnung zu OceanLotus erfolgte unter anderem über für verschiedene Malware-Varianten genutzter Code. Laut Wired haben sich aber auch die Sicherheitsanbieter Trend Micro, Eset und Palo Alto Networks bereits mit Ocean Lotus beschäftigt.

Bemerkenswert ist laut Kaspersky, dass es der OceanLotus-Gruppe, auch nachdem ihre Aktivitäten aufgeflogen waren, noch gelungen ist, neue Malware in den Play Store einzuschleusen. „Selbst nachdem diese Gruppe in Google Play als aktiv gemeldet worden war, war sie noch bis Ende 2019 aktiv und hostete dort neue Varianten“, sagte Kaspersky-Forscher Kurt Baumgartner im Gespräch mit Wired. „Für mich sagt dies etwas über das Konzept der abgeschirmten Umgebungen aus – und wie das Vertrauen in abgeschirmte Umgebungen erschüttert wird.“