Neue Welle von Joker-Android-Malware in freier Wildbahn
Nach einer Pause ist die Joker-Malware für Abrechnungsbetrug wieder im Google Play Store. Forscher des mobilen Sicherheitsunternehmens Zimperium haben einen Bericht über den neuen Anstieg von Apps veröffentlicht, die die Joker-Malware enthalten.
Die mobile Joker-Malware wird normalerweise als Fleeceware oder Malware für Abrechnungsbetrug klassifiziert. Es ist Huckepack in legitimen Anwendungen aller Art, von Fotomanipulations-Apps bis hin zu Handyspielen und Messaging-Apps. Sobald die App installiert ist, führt Joker leise Klicks aus, ohne jegliche Erlaubnis oder Zustimmung des Benutzers, und abonniert den Benutzer für alle Arten von kostenpflichtigen Premium-Diensten, die von den Bedrohungsakteuren hinter der Malware ausgeführt und betrieben werden.
In den meisten Fällen hat das Opfer keine Ahnung, was vor sich geht, da alles im Stillen ausgeführt wird und die Feststellung, dass etwas sehr falsch ist, mit der Telefonrechnung für den jeweiligen Monat einhergeht, aber zu diesem Zeitpunkt ist es etwas spät. Joker kann auch SMS-Texte abfangen und stehlen und Kontakte und Informationen über das infizierte Gerät abkratzen.
Wie bei der meisten mobilen Malware ist es viel wahrscheinlicher, dass Sie auf ein App-Paket stoßen, das Joker enthält, wenn Sie außerhalb des offiziellen Google Play Store nach .apk-Anwendungspaketen suchen, aber es gab genug Instanzen von Apps im offiziellen Store mit Joker auch. Zimperium gab an, dass in den letzten vier Jahren insgesamt 1800 Anwendungen mit Joker aus dem Google Play Store entfernt wurden.
Trotz der mehrfachen Entfernungswellen optimieren und verbessern die bösen Akteure hinter Joker die Malware und auch wenn mit Malware befallene Apps Sicherheitsüberprüfungen nie zu lange überleben, zeigt die einfache Tatsache, dass so etwas wie Joker immer wieder zurückkommt, wie hartnäckig und stur sind die Hacker dahinter.
Einer der neuesten Tricks, die Joker verwendet, um die Erkennung sowohl lokal auf Geräten als auch im Play Store zu umgehen, besteht darin, die Nutzlast in einer .dex-Datei abzulegen, die entweder durch Verschlüsselung verschleiert oder mit Steganographie-Techniken in einer Bilddatei gespeichert wird. Das Sahnehäubchen ist, dass die Image-Datei auch auf einem entfernten, legitimen Cloud-Dienst oder sogar auf den Command-and-Control-Servern der Malware gehostet werden kann.
Joker kann auch überprüfen, ob die Umgebung, auf der es gelandet ist, ein Emulator ist, der für Sandboxing und Forschung verwendet wird.
