Gefälschte VPN-App spioniert Android-Nutzer aus

Nächste PM

Cyberkriminelle verbreiten derzeit über gefälschte SecureVPN-Webseiten bösartige Spyware-Apps. Diese Seiten stehen in keinerlei Zusammenhang mit der legitimen, plattformübergreifenden SecureVPN-Software und dem SecureVPN-Dienst. ESET Forscher haben diese laufende Kampagne identifiziert, die sich gegen Android-Nutzer richtet und von der APT (Advanced Persistent Threat) Gruppe Bahamut durchgeführt wird. Die hierbei verwendeten Schad-Apps sind in der Lage, Kontakte, SMS-Nachrichten, aufgezeichnete Telefonanrufe und sogar Chat-Nachrichten aus Apps wie WhatsApp, Facebook Messenger, Signal, Viber und Telegram zu stehlen. Insgesamt haben die ESET Experten acht Versionen der Spyware identifiziert. Diese Anwendungen waren aber zu keiner Zeit bei Google Play verfügbar, lediglich auf den Webseiten. Ihre Analyse haben die ESET Forscher auf WeLiveSecurity.de veröffentlicht.

„Die Kampagne scheint sehr gezielt abzulaufen, da wir keine ähnlichen Fälle in unseren Telemetriedaten finden konnten“, berichtet Lukas Stefanko, Senior Malware Researcher bei ESET. „Die Apps verlangt einen Aktivierungsschlüssel, bevor die VPN- und Spionage-Funktionen aktiviert werden können. Sowohl der Link zu den Webseiten als auch der Schlüssel werden wohl gezielt an Nutzer verschickt. Dieses Vorgehen soll verhindern, dass die schädliche Payload direkt nach dem Start oder bei der Analyse ausgelöst wird. Die Bahamut-Gruppe ist bekannt für diese Vorgehensweise.“

Spyware erlangt umfassende Rechte auf den Geräten

Wenn die Bahamut-Spyware aktiviert ist, kann sie von den Betreibern ferngesteuert werden und verschiedene sensible Gerätedaten auslesen, z.B. Kontakte, SMS-Nachrichten, Anrufprotokolle, eine Liste der installierten Apps, den Standort des Geräts, Gerätekonten, Geräteinformationen (Art der Internetverbindung, IMEI, IP, SIM-Seriennummer), aufgezeichnete Telefongespräche und eine Liste der Dateien auf dem externen Speicher. Durch den Missbrauch von Zugriffsdiensten kann die Malware Notizen aus der SafeNotes-Anwendung stehlen. Darüber hinaus spioniert sie aktiv Chat-Nachrichten und Informationen über Anrufe aus beliebten Messaging-Apps wie Facebook Messenger, Viber, Signal, WhatsApp oder Telegram aus. Die gesammelten Daten werden in einer lokalen Datenbank gespeichert und dann an den Command and Control (C&C) Server geschickt.

Wie gelangen die Apps auf die Geräte?

Die Bahamut APT-Gruppe nutzt in der Regel Spear-Phishing-Mails und gefälschte Anwendungen als anfänglichen Angriffsvektor gegen Unternehmen und Einzelpersonen im Nahen Osten und Südasien. Die Hacker sind auf Cyberspionage spezialisiert. Bahamut wird auch als Söldnergruppe bezeichnet, die für eine Vielzahl von Kunden ihre Dienste anbietet. Der Name dieses Bedrohungsakteurs, der ein Meister im Phishing zu sein scheint, wurde von der investigativen Journalistengruppe Bellingcat vergeben. Die Journalisten benannten die Gruppe nach dem riesigen Fisch aus der arabischen Mythologie, der im weiten Meer schwimmt und im Buch der eingebildeten Wesen von Jorge Luis Borges erwähnt wird.

Ihre Analyse haben die ESET Forscher auf WeLiveSecurity veröffentlicht: https://www.welivesecurity.com/deutsch/2022/11/24/bahamut-gruppe-attackiert-android-nutzer-mit-vpn-apps

Pressekontakt

Christian Lueg
Head of Communication & PR DACH

christian.lueg@eset.com

Michael Klatte
PR-Manager

michael.klatte@eset.com

Philipp Plum
PR-Manager

philipp.plum@eset.com

Über ESET

Der europäische IT-Sicherheitshersteller ESET mit Hauptsitz in Bratislava (Slowakei) bietet hochmoderne digitale Security-Lösungen, um Angriffe zu verhindern, bevor sie passieren. Ob Endpoint-, Cloud- oder mobiler Schutz – durch die Kombination aus Künstlicher Intelligenz und menschlicher Expertise sichert ESET Unternehmen, kritische Infrastrukturen und Privatpersonen effektiv ab.  Die Technologien „Made in EU“ sorgen für zuverlässige Erkennung und Reaktion, extrem sichere Verschlüsselung und Multi-Faktor-Authentifizierung. ESET verfügt über weltweite Forschungs- und Entwicklungszentren und ein starkes internationales Partnernetzwerk in über 200 Ländern und Regionen.