ESET warnt: Erste Clipper-Malware bei Google Play entdeckt

Nutzer der Kryptowährungen Bitcoin und Ethereum im Visier

[datensicherheit.de, 09.02.2019] Experten aus dem Hause ESET haben nach eigenen Angaben die erste sogenannte Clipper-Malware im „Google Play Store“ entdeckt. Dieser Schädling ist demnach für Besitzer der Kryptowährungen Bitcoin und Ethereum besonders gefährlich, denn er könnte den Inhalt der Zwischenablage auf den genutzten „Android“-Geräten verändern und Transaktionen umleiten. Erstmals sei es Cyber-Kriminellen gelungen, den Zwischenspeicher auf „Android“-Smartphones und -Tablets zu manipulieren. Hierdurch sei es den „mobilen Bankräubern“ gelungen, Finanztransaktionen mit Kryptowährungen umzuleiten.

Bequemlichkeit der Benutzer von Kryptowährungen ausgenutzt

„,Clipper‘-Malware ist nicht mehr länger nur ein Problem von ,Windows‘-Anwendern oder dubiosen ,Android‘-Foren. Jetzt betrifft das Problem auch den durchschnittlichen ,Android‘-Anwender“, sagt ESET-Malware-Forscher Lukáš Štefanko.
Der von ESET als „Android/Clipper.C“ erkannte, neue Schädling nutze die Bequemlichkeit der Benutzer von Kryptowährungen aus. Diese gäben für Währungstransfers selten manuell die komplexen „Wallet“-Adressen ein, sondern kopierten diese häufig. Dadurch würden sie kurzzeitig in der Zwischenablage des Betriebssystems abgelegt – die Malware könne dort die Adresse einfach austauschen.

„Clipper“-Malware erstmals 2017 auf „Windows“-Betriebssystemen aufgetaucht

„Clipper“-Malware sei das erste Mal 2017 auf „Windows“-Betriebssystemen aufgetaucht. ESET-Forscher hätten bereits 2018 nachweisen können, dass es drei solcher Schädlinge bis zu „download.cnet.com“ geschafft hätten – einer der beliebtesten Download-Plattformen weltweit.
Im August 2018 sei der erste „Android Clipper“ überhaupt in Untergrundforen entdeckt worden. Seitdem sei diese Art Malware in mehreren zweifelhaften App-Stores aufgetaucht.

Nach Meldung durch ESET „Clipper“ aus „Google Play Store“ entfernt

„Android“-Nutzer, die ihre Downloads ausschließlich aus dem „Google Play Store“ beziehen, schienen bis 2019 davor sicher zu sein. Dies ändere sich nun, nachdem ESET-Forscher die Schadsoftware in Googles offiziellem Store hätten nachweisen können.
„Zum Glück haben wir den ,Clipper‘ bereits kurz nach seinem Upload in den Store entdeckt. Wir haben den Sachverhalt dem ,Google Play Security‘-Team gemeldet, welches kurz daraufhin die App entfernte“, berichtet Lukáš Štefanko.

Malware ahmt legitimen Dienst „MetaMask“ nach

Die jetzt entdeckte Malware ahme einen legitimen Dienst namens „MetaMask“ nach. Dieser ermögliche es, dezentrale Ethereum-Anwendungen im Browser auszuführen. Dazu sei es nicht notwendig, einen vollen Ethereum-Knoten zu betreiben. Der Dienst werde dazu als Add-On für „Chrome“ und „Firefox“ angeboten. Eine mobile App existiere nicht.
„Es scheint eine rege Nachfrage nach einer mobilen Version von ,MetaMask‘ zu geben. Das nutzen Cyber-Kriminelle aus, indem sie ihren Schadcode entsprechend verkleiden“, warnt Štefanko.

Opfer selbst senden Angreifern unfreiwillig „Wallet“-Adresse zu

Die gefundene Malware habe es auf die Bitcoin- und Ethereum-Werte seiner Opfer abgesehen. Dazu blende sie lediglich ein gefälschtes Formular ein. In dieses solle der Anwender seine „Wallet“-Adresse eingeben und somit den Angreifern zugänglich machen.
„Mit einem installierten ,Clipper‘ könnte es gar nicht leichter sein, digitale Werte zu stehlen. Es sind die Opfer selbst, die diese den Angreifern unfreiwillig zuschicken“, erklärt Štefanko.

IT-Sicherheits-Grundregeln beachten!

Diese erste Entdeckung von „Clipper“-Malware im „Google Play Store“ verdeutliche einmal mehr die Notwendigkeit, dass „Android“-Nutzer sich mit den IT-Sicherheits-Grundregeln beschäftigen sollten. Um sich vor „Clipper“ und anderer Malware zu schützen, raten die ESET-Experten:

• „Android“ immer aktuell halten und eine vertrauenswürdige Schutz-App installieren.
• Apps nur aus dem „Google Play Store“ laden.
• …aber vorher sicherheitshalber die Webseite des App-Anbieters überprüfen, die in der Beschreibung der App verlinkt sein sollte – existiert keine Webseite, sollten Sie das Angebot meiden.
• Jeden Schritt bei der Übertragung von sensiblen Informationen und Werten überprüfen – beim Verwenden der Zwischenablage sollte gecheckt werden, ob die ausgefüllten Daten auch den gewollten entsprechen.

Weitere Informationen zum Thema:

welivesecurity BY eset, Lukas Stefanko, 08.02.2019
Erste Clipper-Malware bei Google Play entdeckt

datensicherheit.de, 13.10.2018
ESET: Hacker-Gruppen kooperierten bei Angriff auf Energieversorger