RottenSys: Mobile Adware infiziert Millionen Geräte weltweit

Systemdienst gibt vor, sichere Verbindungen zu Wifi-Hotspot herzustellen

[datensicherheit.de, 19.03.2018] Sicherheitsforscher des Unternehmens Check Point haben mit RottenSys eine mobile Adware entdeckt. Zuerst auf einem Xiaomi Redmi Smartphone geortet, wurde die bösartige und auf den Geräten vorinstallierte App nach ihrer ursprünglichen Aufgabe benannt, Wifi-Verbindungen herzustellen. Der Systemdienst gibt vor, sichere Verbindungen zu Wifi-Hotspot herzustellen. In Wirklichkeit erschleicht sie sich heimlich zahlreiche Rechte auf dem Android Betriebssystem, darunter erleichterte Bedienung, Zugriff auf den Kalender und die Berechtigung für den stillen Download.

Die Angreifer haben den Dienst so programmiert, dass er nicht sofort nach den Zugriffsrechten fragt, sondern erst nach einer Weile. Darüber hinaus enthält RottenSys eine Dropper-Komponente, die sich anfangs ebenso wenig bösartig verhält. Sowie das Gerät jedoch aktiviert wird und der Dropper installiert wurde, kontaktiert dieser den C&C Server, der weiteren Code sendet, damit die Adware ihre Aktivitäten starten kann. Dabei wird die Berechtigung Download_Without_Notification genutzt.

Schadwirkung nach Download der benötigten Komponenten

Sobald alle benötigten Komponenten heruntergeladen wurde, beginnt die eigentliche bösartige Aktivität der Adware. Dabei nutzt sie das Android Framework „Small“ zur Virtualisierung von Anwendungen. Dadurch können alle Komponenten zeitgleich ablaufen und der Nutzer bekommt Werbung auf seinem Gerät angezeigt. Die Werbung wird als Pop-Up Bildschirm oder als komplette Vollbild-Werbung angezeigt.

© Check Point

Dietmar Schnabel, Regional Director Central Europe, Check Point

„Cyberkriminelle passen ihre Malware immer besser an und wissen, dass viele Organisationen gerade bei Mobilgeräten nur unzureichende Sicherheitsmechanismen implementiert haben. RottenSys ist ein Paradebeispiel für effiziente Schadsoftware“, sagt Dietmar Schnabel, Regional Director Central Europe bei Check Point. „Durch einfache Modifikationen des Schädlings lassen sich klassische Schutzansätze umgehen. Dabei nutzen die Angreifer das Nutzerverhalten geschickt für ihre Zwecke.“

Malware-Kampagne

Nach Informationen von Check Point handelt es sich hierbei um eine ganze Kampagne, bei der unterschiedliche Komponenten genutzt werden. Seit der ersten Installation der App auf einem Smartphone im Jahr 2016 hat sich die bösartige Adware auf fünf Millionen Geräten verbreitet. Betroffene Gerätemarken sind z.B. Honor, Huawei und Xiaomi.

Weitere Informationen zum Thema:

Check Point Research
RottenSys: Not a Secure Wi-Fi Service At All

datensicherheit.de, 09.05.2016
KRBanker: Angriffe mittels Adware und Exploit-Kits