Eine neue Malware für Android-Smartphones kann die Whatsapp-Historie der Nutzer ausspionieren, Kontakte auslesen und die Kamera des Smartphones übernehmen. Erstmals entdeckt wurde die Malware von dem Sicherheitsforscher Lukas Stefanko. G DATA Analysten haben die Schadsoftware genauer analysiert. Die Schutzsoftware G DATA Mobile Internet Security erkennt die Bedrohung unter dem Namen Android.Trojan-Spy.Buhsam.A.
Nach Ansicht der G DATA Sicherheitsforscher ist die Malware derzeit entweder noch in der Entwicklungsphase oder schlecht programmiert. Denn nachdem die entsprechenden Dienste gestartet werden, erhalten Nutzer eine Benachrichtigung mit dem Inhalt „Service Started“. Kriminelle versuchen normalerweise so versteckt wie möglich zu agieren, um ihre Spuren zu verwischen. Immer wieder gelangt noch in der Entwicklung befindliche Malware versehentlich in den Umlauf, etwa weil die Autoren auf Seiten wie Virustotal überprüfen, ob ihre Schadsoftware von Virenscannern erkannt wird. Trotzdem hat die Malware einige besondere Funktionen.
Websockets statt HTTPS(S)
Denn die Schadsoftware baut die Verbindung mit dem Command-and-Control-Server nicht über eine normale http-Verbindung auf, sondern nutzt stattdessen die sogenannten Websockets. Verbindungen über Websockets können ohne Probleme über eine längere Zeit aufrechterhalten werden, anders als klassische http-Verbindungen. Für die Autoren der Malware sinkt damit der Aufwand bei der Kommunikation mit dem Smartphone des Opers. Außerdem entfällt die Übermittelung so genannter Header-Dateien –deswegen wird bei jeder Verbindung mit dem Server weniger Datenvolumen verbraucht. Das kann einer Malware bei der Tarnung helfen, weil Nutzer keinen verdächtig hohen Verbrauch an Daten bemerken.
Die Malware kann zahlreiche verschiedene Module laden – je nach dem, welche Informationen auf einem Smartphone vorhanden sind. So kann zum Beispiel die gesamte Whatsapp-Datenbank ausgelesen werden. Diese wird dann an den Server der Angreifer gesendet und mit einer eindeutigen Nutzerkennzeichnung versehen.
Der Command-and-Control-Server kann außerdem die Inhalte der Browserhistorie anfordern. Dazu wird eine Anfrage nach einem JSON-Objekt an das Smartphone gesendet. Derzeit werden dabei aber nur die gespeicherten Lesezeichen der Nutzer übertragen und nicht die komplette Historie. Das deutet ebenfalls daraufhin, dass sich die Malware noch in der Entwicklung befindet. Ebenso können die Kontakte des Nutzers an den Server der Angreifer übertragen werden.
Komplette Analyse im G DATA Whitepaper
Die komplette Analyse finden Sie im G DATA Whitepaper ‚Analysis of Android.Trojan-Spy.Buhsam.A‘ zum Download [PDF].
