Guerilla-Malware schlummert auf Millionen von Android-Geräten

Lemon Group, eine Cybercrime-Organisation, hat die Guerrilla-Malware erfolgreich auf rund 8,9 Millionen Android-basierten Geräten weltweit implantiert, darunter Smartphones, Uhren, Fernseher und TV-Boxen. Trend Micro, ein Cybersicherheitsunternehmen, hat diese Informationen in einem aktuellen Bericht veröffentlicht.

Die Guerrilla-Malware verfügt über verschiedene Fähigkeiten, wie das Laden zusätzlicher Schadsoftware, das Abfangen von per SMS versendeten Einmalpasswörtern (OTPs), die Einrichtung eines Reverse-Proxys über das infizierte Gerät und das Infiltrieren von WhatsApp-Sitzungen.

Den Forschern von Trend Micro zufolge werden die infizierten Geräte in mobile Proxys umgewandelt, die als Werkzeuge für den Diebstahl und Verkauf von SMS-Nachrichten, Social-Media- und Online-Messaging-Konten sowie für die Generierung von Einnahmen durch Werbung und Klickbetrug dienen. Diese Ergebnisse wurden in einem Bericht während der jüngsten BlackHat Asia-Konferenz vorgestellt.

Die Malware wurde weltweit verbreitet und infizierte Geräte wurden in mehr als 180 Ländern gefunden, darunter in den USA, Mexiko, Indonesien, Thailand, Russland, Südafrika, Indien, Angola, den Philippinen und Argentinien.

Supply-Chain-Angriff zur Einpflanzung von Guerilla

Das Vorhandensein von Schadsoftware auf Android-Geräten lässt sich auf die Beteiligung Dritter zurückführen, die von den Herstellern beauftragt wurden, die Standard-Systemabbilder zu verbessern. Trend Micro hat bei seiner Analyse der Guerilla-Malware herausgefunden, dass ein Unternehmen, das Firmware-Komponenten für Mobiltelefone herstellt, auch ähnliche Komponenten für Android Auto erstellt, eine App, die auf Fahrzeug-Dashboard-Systemen verwendet wird.

Dies gibt Anlass zur Sorge hinsichtlich der Möglichkeit infizierter Unterhaltungssysteme im Auto. Die Forscher betonten diesen Punkt während ihrer Forschung. Die Ermittlungen gegen Guerilla begannen, nachdem Berichte über kompromittierte Telefone aufgetaucht waren. Forscher beschafften sich ein infiziertes Telefon und extrahierten das ROM-Image für eine forensische Untersuchung. In dem Bericht identifizierten die Forscher eine manipulierte Systembibliothek namens libandroid_runtime.so, die einen Codeausschnitt in eine Funktion namens println_native einschleuste.

Der Zweck des injizierten Codes besteht darin, eine DEX-Datei, die vom Android-Betriebssystem zur Ausführung von Bytecode verwendet wird, aus dem Datenabschnitt des Geräts zu entschlüsseln und in den Speicher zu laden. Diese Datei wird von Android Runtime ausgeführt, um das von den Angreifern verwendete primäre Plugin namens Sloth zu aktivieren und seine Konfiguration bereitzustellen, einschließlich einer Lemon Group-Domäne für die Kommunikation.

Die Lemon Group konzentriert sich in erster Linie auf die Nutzung von Big Data zur Analyse der Versanddaten der Hersteller, verschiedener Werbeinhalte verschiedener Benutzer sowie detaillierter Hardware- und Softwareinformationen. Dies ermöglicht es ihnen, Kunden zu überwachen und sie möglicherweise mit anderen Anwendungen zu infizieren.

Guerilla verfügt über bedeutende Fähigkeiten

Das primäre Plugin der Guerilla-Malware lädt zusätzliche dedizierte Plugins, die bestimmte Funktionen erfüllen. Das SMS-Plugin fängt per SMS empfangene Einmalpasswörter für WhatsApp, JingDong und Facebook ab. Das Proxy-Plugin richtet einen Reverse-Proxy vom infizierten Gerät ein und ermöglicht es den Angreifern, die Netzwerkressourcen des Opfers auszunutzen. Das Cookie-Plugin ruft Facebook-Cookies aus dem App-Datenverzeichnis ab und sendet sie an den C2-Server, während es gleichzeitig WhatsApp-Sitzungen für die Verteilung unerwünschter Nachrichten kapert.

Darüber hinaus umfasst die Malware das Splash-Plugin, das aufdringliche Werbung anzeigt, während die Opfer legitime Anwendungen verwenden, und das Silent-Plugin, das für die stille Installation oder Deinstallation von APKs (Android Package Kits) verantwortlich ist, die vom C2-Server empfangen wurden. Die Installation und der Start dieser Apps erfolgen diskret im Hintergrund.