Trojaner nimmt Raiffeisen- und UBS-Kunden ins Visier

Über vermeintlich harmlose Taschenlampen-, Optimierungs- und Solitaire-Spiele-Apps ist es Cyberkriminellen gelungen, den Banking-Trojaner «BankBot» in den Google Play Store zu schleusen. Das haben Sicherheitsforscher von Avast, Eset und SfyLabs in einer gemeinsamen Untersuchung herausgefunden. Die Schad-Software hat es auf das Geld von Mobile-Banking-Kunden abgesehen und greift dazu deren Zugangsdaten ab, indem sie die Nutzeroberfläche gängiger Banking-Apps manipuliert.

In der Schweiz konzentriere sich die Attacke auf Kundinnen und Kunden der Raiffeisen und der UBS, wie aus einem Blog-Beitrag von Avast hervorgeht. Weltweit seien allerdings insgesamt etwa 160 Banken zum Angriffsziel der Cyberkriminellen geworden. In Deutschland sind unter anderem die Citibank, Comdirekt oder die Commerzbank betroffen, in Österreich die BAWAG sowie die Sparda-Bank.

Der Banking-Trojaner gelangt zunächst als vermeintlich vertrauenswürdige App auf die Geräte der Nutzer. Sobald der «BankBot» den Start einer Banking-App registriert, legt die Malware eine gefälschte Anmeldeseite über die jeweilige Anwendung. Die dort eingegangenen Anmeldedaten landen anschliessend auf den Servern der Kriminellen. Auch SMS-TANs sollen vom Schadprogramm abgefangen werden, um direkt Banküberweisungen im Namen des Nutzers durchzuführen.

Für die Ausführung dieser Vorgänge ist BankBot allerdings auf Administratorrechte angewiesen. Darüber hinaus muss der Nutzer für eine erfolgreiche Attacke eine Installation aus unbekannten Quellen erlauben, damit die Apps den eigentlichen Schadcode nachladen können. Google entfernte kürzlich ältere «BankBot»-Apps aus dem Play Store, dennoch seien Tausende Geräte infiziert worden. Denn mehrere Versionen seien bis zum 17. November aktiv geblieben, heisst es in der Pressemitteilung weiter.

Um sich vor dem «BankBot» und weiteren Schädlingen zu schützen, empfehlen die Sicherheitsexperten, bei der Nutzung von Banking-Apps auf auffällige Veränderungen der Nutzeroberfläche zu achten. Zudem biete sich – soweit verfügbar – die Absicherung der Anwendungen über eine Zwei-Faktor-Authentifizierung (2FA) an. Ausserdem sollten Nutzer nur Anwendungen aus vertrauenswürdigen Quellen wie dem Google Play Store oder dem Open-Source-Shop F-Droid herunterladen. Um sich vor dem «BankBot» und anderen Banking-Trojanern zu schützen, raten die Experten zudem, auf mobilen Geräten eine Sicherheits-App zu installieren.

Im Falle des «BankBots» gelang es den Cyberkriminellen, die Sicherheitsscans von Google mit der Veröffentlichung der Apps unter verschiedenen Entwicklernamen zu umgehen. Zudem wurde der Trojaner auf befallenen Geräten sehr schnell aktiv. Bereits zwei Stunden, nachdem ihm Opfer Administratorenrechte erteilten, habe er damit begonnen, schädliche Aktivitäten auszuführen. Wenn eine App weitreichende Zugriffsrechte einfordere, sei deshalb generell äusserste Vorsicht geboten, schreibt Avast abschliessend.