Neue Version des Necro-Trojaners im Google Play Store entdeckt

Forscher des Sicherheitsanbieters Kaspersky haben eine neue Variante des Android-Trojaners Necro im Google Play Store aufgespürt. Die neue Version schaffte es der Analyse zufolge über den offiziellen Google-Marktplatz auf mehr als 11 Millionen Android-Geräte. Unter anderem ist der Trojaner in der Lage, beliebige Apps im Hintergrund zu installieren und sogar kostenpflichtige Abonnements im Namen eines Nutzers abzuschließen.

Für die Forscher ist Necro ein alter Bekannter: Bereits 2019 versteckte sich eine Version des Trojaners in einer App namens CamScanner und erreichte so mehr als 100 Millionen Downloads weltweit. Derzeit wird der Trojaner über infizierte Apps im Play Store sowie modifizierte Versionen von Spotify und Minecraft aus inoffiziellen Quellen verbreitet.

Im Play Store sind derzeit unter anderem Game Mods mit dem Necro-Trojaner infiziert. Die neue Version verfügt laut Kaspersky über neue Techniken, um einer Erkennung zu entgehen. Unter anderem sollen die Entwickler von Necro auf Steganografie setzen, um ihren Schadcode zu verbergen.

Zum Funktionsumfang von Necro gehört das Laden von sowie interagieren mit Werbeanzeigen in nicht sichtbaren Fenstern. Der Schädling öffnet aber auch Links in nicht sichtbaren WebView-Fenstern und führt darin JavaScript-Code aus. Außerdem kann er beliebige Dateien im DEX-Format herunterladen und ausführen.

Die Zahl von mehr als 11 Millionen infizierten Geräten bezieht sich Kaspersky zufolge ausschließlich auf über den Play Store getätigte Downloads. Die Opferzahl soll, da Necro auch über inoffizielle Quellen verteilt wird, deutlich höher sein. Angriffe mit Necro registrierte Kaspersky unter anderem in Russland, Brasilien, Spanien, Italien, der Türkei und Deutschland.

„Bei dieser neuen Version handelt es sich um einen mehrstufigen Loader, der Steganografie verwendet, um die Nutzlast der zweiten Stufe zu verstecken – eine sehr seltene Technik für mobile Malware – sowie eine Verschleierung, um die Erkennung zu umgehen“, teilte Kaspersky mit. „Die modulare Architektur gibt den Entwicklern des Trojaners eine breite Palette von Optionen für die massenhafte und gezielte Bereitstellung von Loader-Updates oder neuen bösartigen Modulen je nach infizierter Anwendung.“