PixStealer: Missbrauch von Zugangsdiensten durch neuen Android-Banking-Trojaner

Check Point Research entdeckt Attacken gegen PIX – ein von der brasilianischen Zentralbank verwaltetes Sofortzahlungssystem

[datensicherheit.de, 07.10.2021] Check Point Research (CPR) hat nach eigenen Angaben „Attacken gegen die Anwendung ,PIX‘, ein von der brasilianischen Zentralbank verwaltetes Sofortzahlungssystem, entdeckt“. Cyber-Kriminelle brachten Nutzer demnach dazu, ihr Guthaben auf ein anderes Bankkonto zu überweisen. Auslöser seien zwei bösartige Anwendungen im „Google Play Store“ gewesen.

PIX gilt als führende Zahlungslösung in Brasilien

Die Check Point® Software Technologies Ltd. habe einen neuen Banking-Trojaner in Brasilien enttarnt. Hacker hätten zwei Varianten mit den Namen „PixStealer“ und „MalRhino“ über zwei bösartige Anwendungen im „Play Store“ von Google verbreitet.
„Beide Apps wurden entwickelt, um das Geld der Opfer durch Benutzerinteraktion und die ursprüngliche ,PIX‘-Anwendung zu stehlen. ,PIX‘ gilt als die führende Zahlungslösung in Brasilien, die täglich über 40 Millionen Transaktionen verarbeitet und wöchentlich 4,7 Milliarden Dollar umsetzt.“

PixStealer operiert ohne Verbindung zu Command-and-Control-Server

Die erste der beiden Variante werde als „PixStealer“ bezeichnet. Die Angreifer hätten diesen Trojaner in einer, wie CPR es nennt, „schlanken Form“ entwickelt, die nur eine Funktion habe: Das Geld eines Opfers auf ein vom Angreifer kontrolliertes Konto zu überweisen.
„Schlank“ werde „PixStealer“ genannt, weil er ohne Verbindung zu einem „Command-and-Control-Server“ (C&C) operiere. Diese Fähigkeit mache es sehr wahrscheinlich, unentdeckt zu bleiben.

Nach Öffnung der PIX-Bank-Anwendung zeigt PixStealer dem Opfer ein Overlay-Fenster

CPR habe schließlich herausgefunden, dass „PixStealer“ im „Google Play Store“ als gefälschter „PagBank Cashback Service“ (brasilianische Finanztechnologie für das Online-Banking) verbreitet werde, welcher auf die zugehörige brasilianische PagBank abziele.
„Wenn ein Benutzer seine ,PIX‘-Bank-Anwendung öffnet, zeigt ,PixStealer‘ dem Opfer ein Overlay-Fenster, worin der Benutzer die Schritte des Angreifers nicht sehen kann. Hinter dem Overlay-Fenster aber ruft der Angreifer den verfügbaren Geldbetrag ab und überweist ihn auf ein anderes Konto.“

Fortschrittlichere Variante in der Lage, PIX und andere Banken-Anwendungen zu kapern

CPR habe außerdem eine fortschrittlichere Variante entdeckt, welche in der Lage sei, die gesamte „PIX“-Anwendung und sogar andere Banken-Anwendungen zu kapern. Unter dem Namen „MalRhino“ habe CPR die Variante in einer gefälschten „iToken“-App (eine Anwendung zur Identifizierung und Authentifizierung von Benutzern) für die Brazilian Inter Bank gefunden, welche ebenfalls über den „Google Play Store“ verbreitet werde.
„MalRhino“ zeige seinem Opfer eine Nachricht an, um es davon zu überzeugen, die Zugriffsberechtigung zu erteilen. „Sobald die Erlaubnis erteilt wurde, kann ,MalRhino‘ die installierten Anwendungen des Nutzers in einer Liste sammeln und mit den Gerätedaten des Opfers an einen C&C-Server senden, um dann die Banken-Anwendungen auszuführen.“

Weitere Informationen zum Thema:

datensicherheit.de, 22.06.2021
IoT-Geräte im Gesundheitswesen: Check Point warnt vor Zunahme von Angriffen

cp<r> CHECK POINT RESEARCH, Israel Wernik & Bohdan Melnykov, 29.09.2021
PixStealer: a new wave of Android banking Trojans abusing Accessibility Services