Kaspersky hat eine Hacking-Kampagne namens PhantomLance aufgedeckt, in deren Verlauf offenbar über einen Zeitraum von mehreren Jahren staatlich unterstützte Spione Schadsoftware in den Google Play Store eingeschleust haben. Ihre Angriffe richteten sie gegen Nutzer in Vietnam, Bangladesch, Indonesien und Indien.
Erstmals wurden Forscher von Dr. Web im Juli 2019 auf PhantomLance aufmerksam. Sie entdeckten im Play Store einen schädliche App, die sich in einer Grafik-Design-Software versteckte. Sie war in der Lage, das Adressbuch auszulesen und Anruflisten und Textnachrichten von Android-Smartphones zu stehlen. Kaspersky-Forscher fanden im November einen ähnliche schädliche App, die sich als Tool zum Löschen des Browser-Cache tarnte. In beiden Fällen war es den Hintermännern möglich, die Schadsoftware um weitere Funktionen zu erweitern.
Bei einer weiteren Analyse spürte Kaspersky ähnliche Spyware-Apps auf, die zum Teil schon im Jahr 2015 eingestellt beziehungsweise von Google aus seinem Marktplatz entfernt worden waren. Diese Apps waren offenbar auf vietnamesische Nutzer ausgerichtet. Um nicht aufzufallen, hätten die Entwickler der Malware jeweils neue Google-Konten und sogar eigene GitHub-Repositories angelegt. Insgesamt hätten solche Apps versucht, die Smartphones von rund 300 Kaspersky-Kunden zu infizieren.
In den Play Store schafften es die Spionage-Tools, weil deren Entwickler die schädlichen Funktionen erst im Nachhinein hinzufügten. „Wir glauben, dass ist die Hauptstrategie dieser Leute“, ergänzte Firsh. In einigen Fällen hätten die Apps zudem versucht, sich Root-Rechte zu sichern, um das Berechtigungssystem von Android zu umgehen. Den dafür genutzten Code konnten die Kaspersky-Forscher nach eigenen Angaben bisher aber nicht finden.
Die Forscher vermuten jedoch, dass hinter der Kampagne eine als APT32 oder OceanLotus bezeichnete Gruppe steckt, der wiederum nachgesagt wird, im Auftrag der vietnamesischen Regierung zu handeln. Ziel der PhantomLance-Kampagne wäre es also, eigene Bürger sowie Personen in den Nachbarstaaten auszuspionieren. Die Zuordnung zu OceanLotus erfolgte unter anderem über für verschiedene Malware-Varianten genutzter Code. Laut Wired haben sich aber auch die Sicherheitsanbieter Trend Micro, Eset und Palo Alto Networks bereits mit Ocean Lotus beschäftigt.
Bemerkenswert ist laut Kaspersky, dass es der OceanLotus-Gruppe, auch nachdem ihre Aktivitäten aufgeflogen waren, noch gelungen ist, neue Malware in den Play Store einzuschleusen. „Selbst nachdem diese Gruppe in Google Play als aktiv gemeldet worden war, war sie noch bis Ende 2019 aktiv und hostete dort neue Varianten“, sagte Kaspersky-Forscher Kurt Baumgartner im Gespräch mit Wired. „Für mich sagt dies etwas über das Konzept der abgeschirmten Umgebungen aus – und wie das Vertrauen in abgeschirmte Umgebungen erschüttert wird.“
In diesem Webinar stellen wir Ihnen SkySQL vor, erläutern die Architektur und gehen auf die Unterschiede zu anderen Systemen wie Amazon RDS ein. Darüber hinaus erhalten Sie einen Einblick in die Produkt-Roadmap, eine Live-Demo und erfahren, wie Sie SkySQL innerhalb von nur wenigen Minuten in Betrieb nehmen können.
Der Cybersecurity Report von Hornetsecurity stuft 2,3 Prozent der Inhalte gar als bösartig ein. Die…
Die Hintermänner haben es auf Zugangsdaten zu Microsoft Azure abgesehen. Die Kampagne ist bis mindestens…
Cloud-Plattform für elektronische Beschaffungsprozesse mit automatisierter Abwicklung elektronischer Rechnungen.
Mindestens eine Schwachstelle erlaubt eine Remotecodeausführung. Dem Entdecker zahlt Google eine besonders hohe Belohnung von…
Nur rund die Hälfte schaltet während der Feiertage komplett vom Job ab. Die anderen sind…
Security-Experten von Check Point sind einer neuen Angriffsart auf die Spur gekommen, die E-Mail-Schutzmaßnahmen umgehen…
