Check Point: SimBad betrifft 150 Millionen Nutzer

Neue Rogue-Adware-Kampagne im Google Play Store entdeckt

[datensicherheit.de, 13.03.2019] Sicherheitsforscher aus dem Hause Check Point® Software Technologies Ltd. haben nach eigenen Angaben eine neue Adware-Kampagne im „Google Play Store“ gefunden, die sich auf 210 Apps verteilt hatte: „SimBad“, so der Name des Schadprogramms, betrifft demnach 150 Millionen Nutzer. Google sei bereits informiert worden und habe die betroffenen Apps aus dem Store entfernt, allerdings seien die Applikationen noch auf den Geräten der Nutzer installiert, so dass die Cyber-Kriminellen weiter Umsätze erzielen könnten.

Großer Teil der infizierten Anwendungen Simulator-Spiele

Die Malware befindet sich laut Check Point innerhalb des „RXDrioder-Software Development“-Kits (SDK), welches von „addroider[.]com“ als werbebezogenes SDK bereitgestellt werde. Die Sicherheitsforscher sind der Ansicht, dass die Entwickler durch einen Betrug dazu gebracht wurden, dieses bösartige SDK zu verwenden und den tatsächlichen Inhalt nicht kannten.
Dieser Betrug habe dazu geführt, dass die Kampagne nicht auf ein bestimmtes Land gezielt habe oder nur von einem Entwickler alleine genutzt worden sei. Check Point hat diese Malware „SimBad“ genannt, da ein großer Teil der infizierten Anwendungen Simulator-Spiele seien.

Einblenden von unzähligen Werbeanzeigen auf Smartphones

Sobald eine App mit „SimBad“ an Bord installiert wurde, registriert sich laut Check Point die Malware unter „Boot Complete“ und „User Present“, was ihr ermögliche, nach einem Neustart aktiv zu werden.
Der erste Kontakt werde zum „Command and Control“-Server aufgebaut und daraufhin beispielsweise das Symbol der App entfernt, um die Löschung zu erschweren. Die Einnahmequelle der Cyber-Kriminellen stelle das Einblenden von unzähligen Werbeanzeigen auf dem Bildschirm der Smartphones dar.

Spear-Phishing-Angriffe auf Benutzer

„SimBad“ verfüge über Funktionen, die in drei Arten unterteilt werden könnten – Werbung, Phishing und Exposition gegenüber anderen Anwendungen. Aufgrund der Möglichkeit, eine bestimmte URL in einem Browser zu öffnen, könnten die hinter „SimBad“ steckenden Kriminellen Phishing-Seiten für mehrere Plattformen generieren und auf den infizierten Geräten öffnen, um so Spear-Phishing-Angriffe auf den Benutzer durchzuführen.
Wegen der drei Funktionen, Werbung anzuzeigen, willkürlich andere Anwendungen zu öffnen, sowie URLs über den lokalen Browser aufzurufen, firmiere „SimBad“ als Adware. Das Schadprogramm besitze in seinem Code aber bereits die Struktur, um sich zu einer größeren Bedrohung, einer echten Malware, zu entwickeln.

Weitere Informationen zum Thema:

cp<r> CHECK POINT RESEARCH, Elena Root and Andrey Polkovnichenko, 13.03.2019
SimBad: A Rogue Adware Campaign On Google Play

datensicherheit.de, 20.02.2019
Check Point Security Report 2019: Cloud und Mobile Deployments schwächste Verbindungen in Unternehmensnetzwerken

datensicherheit.de, 22.03.2017
Check Point meldet Umbruch bei Malware-Bedrohungen in Deutschland