SecuriDropper Mobile Malware konnte der Erkennung entgehen
Cybersicherheitsexperten haben einen neuen Android-Dropper-Dienst namens SecuriDropper vorgestellt, der die neuesten Sicherheitsbeschränkungen von Google umgeht und Malware übermittelt.
Dropper-Malware für Android dient als Kanal für die Installation bösartiger Payloads auf kompromittierten Geräten und ist damit ein profitables Modell für Cyberkriminelle, die ihre Fähigkeiten anderen kriminellen Gruppen präsentieren können. Dieser Ansatz ermöglicht es Angreifern auch, die Entwicklung und Ausführung des Angriffs vom eigentlichen Malware-Installationsprozess zu trennen.
Laut einem Bericht des niederländischen Cybersicherheitsunternehmens ThreatFabric entwickeln sich Dropper und ihre Verantwortlichen ständig weiter, um die fortschreitenden Sicherheitsmaßnahmen auszutricksen. Google hat in Android 13 eine Sicherheitsfunktion namens „Eingeschränkte Einstellungen“ eingeführt, die verhindern soll, dass seitlich geladene Anwendungen Zugriffs- und Benachrichtigungs-Listener-Berechtigungen erhalten, die häufig von Banking-Trojanern ausgenutzt werden.
Funktionsweise von SecuriDroppers
SecuriDropper versucht, diese Schutzbarriere unbemerkt zu umgehen, indem es den Dropper als harmlose App tarnt. Einige in freier Wildbahn beobachtete Beispiele enthalten App-Namen wie „com.appd.instll.load“ in Google und Google Chrome.
ThreatFabric betonte, was SecuriDropper auszeichnet, ist sein technischer Ansatz für den Installationsprozess. Im Gegensatz zu ihren Vorgängern verwendet diese Familie eine andere Android-API zur Installation der neuen Nutzlast und ahmt damit den Prozess nach, den App-Marktplätze zur Installation neuer Anwendungen verwenden.
Konkret geht es dabei um die Anforderung von Berechtigungen zum Lesen und Schreiben von Daten auf externen Speicher (READ_EXTERNAL_STORAGE und WRITE_EXTERNAL_STORAGE) sowie der Möglichkeit, Pakete zu installieren und zu löschen (REQUEST_INSTALL_PACKAGES und DELETE_PACKAGES).
In der zweiten Phase wird die Installation der bösartigen Payload erleichtert, indem die Opfer aufgefordert werden, in der App auf die Schaltfläche „Neu installieren“ zu klicken, angeblich um einen Installationsfehler zu beheben.
