Svpeng: Mobiler Banking-Trojaner attackiert Android-Nutzer

Laut KASPERSKY lab bisher 318.000 Anwender von Attacke über Browser-Schwachstelle betroffen

[datensicherheit.de, 07.11.2016] Experten von KASPERSKY lab ist es nach eigenen Angaben gelungen, eine neue Variante des mobilen Banking-Trojaners „Svpeng“ aufzudecken, die sich im Werbenetzwerk „Google AdSense“ versteckt. Demnach konnte sich „Svpeng“ seit Mitte Juli 2016 auf mobilen „Android“-Geräten von rund 318.000 Anwendern ausbreiten. Die Spitzenwerte sollen bei 37.000 Infektionen pro Tag gelegen haben. Dabei nutzten die Angreifer eine Schwachstelle innerhalb von „Google Chrome for Android“ aus – die Malware sammele sowohl Informationen über die Bankkarten ihrer Opfer als auch deren persönliche Daten wie Kontakte oder die Liste besuchter Webseiten.

Erster bekannter Fall Mitte Juli 2016

Der erste bekannte Fall sei Mitte Juli 2016 bei einem russischen Online-Nachrichtenkanal aufgetreten. Anwender, die diese Webseite besuchten, seien Gefahr gelaufen Gefahr, den Trojaner unbemerkt auf ihre „Android“-Geräte zu laden.

Angeblich wichtiges Update manipuliert Nutzer

Bei der Analyse des genauen Angriffsablaufs fanden die KASPERSKY-Experten nach eigenen Angaben heraus, dass die Ursache jeweils in einer infizierten Werbeanzeige zu finden war, die über „Google AdSense“ auf der Website platziert wurde.
Diese Anzeigen hätten das vom Anwender gewohnte Erscheinungsbild. Der Trojaner sei nur dann heruntergeladen worden, wenn die Anwender mit einem „Android“-Gerät und dem Browser „Chrome“ auf die Seite zugegriffen hätten. Um die Nutzer zur Installation der Malware zu bewegen, habe „Svpeng“ vorgegeben, es handle sich um ein wichtiges Update des Browsers oder einer anderen populären Anwendung.
Wurde die Malware tatsächlich installiert, sei sie von der Liste der installierten Apps verschwunden und habe die Anwender aufgefordert, Administratorrechte für das Gerät zu erteilen. Dadurch sei die Schadsoftware nur schwer zu entdecken gewesen.

Patch erforderlich: Angreifer umgingen Sicherheitsmaßnahmen

Bei dieser Vorgehensweise hätten die Angreifer anscheinend einige der in „Google Chrome for Android“ eingebauten Sicherheitsmaßnahmen umgehen können. Normalerweise werde der Anwender vor dem Download von APK-Dateien gewarnt, da es sich möglicherweise um gefährliche Dateien handeln könnte. In diesem Fall sei es den Betrügern aber gelungen, diese Warnung auszuschalten.
Die Mitarbeiter von KASPERSKY lab hätten nach der Entdeckung Google sofort darüber informiert. Ein entsprechender Patch werde mit dem nächsten Update von „Google Chrome for Android“ ausgeliefert.

Zusammenarbeit aller beteiligten Unternehmen gefordert

Der Fall „Svpeng“ bestätige erneut, wie wichtig die Zusammenarbeit aller beteiligten Unternehmen sei, betont Nikita Buchka, „Malware Analyst“ bei KASPERSKY lab.
„Wir alle möchten die Anwender vor Cyber-Attacken bewahren. Dieses Ziel können wir aber nur gemeinsam erreichen. Wir freuen uns, dass wir dabei helfen können, das ,Android‘-Umfeld sicherer zu machen, und möchten uns bei Google für deren schnelle Reaktion auf unseren Report bedanken. Wir bitten Nutzer zudem, Downloads von Apps von unbekannten Quellen zu vermeiden und wachsam bei der Vergabe von Zugriffsrechten zu sein – sie sollten darauf achten, wonach sie gefragt werden und warum“, sagt Buchka.

Anwender müssen handeln!

KASPERSKY lab empfiehlt nun allen Anwendern, die neueste Version von „Chrome for Android“ herunterzuladen sowie die Installation einer effektiven Sicherheitslösung wie z.B. „Kaspersky Internet Security for Android“.
Zudem sollten alle Nutzer die Tools und Methoden kennen, mit denen Angreifer versuchen, Anwender zur Installation von Schadsoftware zu bewegen und umfassende Rechte zu erteilen.

Millionen Webseiten in Gefahr

Der mobile Trojaner „Svpeng“ ziele darauf ab, die Daten von Bankkarten abzugreifen. Er sammele aber auch Informationen über die vom Anwender getätigten Telefonate, Text- und Multimedia-Nachrichten, sowie Browser-Lesezeichen und Kontakte.
„Svpeng“ sei vorwiegend in russisch-sprachigen Ländern verbreitet, habe aber das Potenzial für eine globale Präsenz. Durch die Art seiner Verbreitung stelle er eine Gefahr für Millionen von Webseiten in aller Welt dar, da viele davon „Google AdSense“ nutzten, um Werbeanzeigen zu veröffentlichen.

Weitere Informationen zum Thema:

SECURELIST, 07.11.2016
Hinter den Kulissen der Attacke / Nikita Buchka, Anton Kivva