In den letzten Jahren haben Android-Malware-Kampagnen in Indien das Vertrauen in staatliche Dienste und offizielle digitale Plattformen zunehmend missbraucht. Durch die Nachahmung bekannter Portale und den Einsatz von Social Engineering über Messenger-Apps nutzen Angreifer die Dringlichkeit der Nutzer und deren mangelnde Überprüfung aus, was zu groß angelegtem Finanzbetrug und Identitätsdiebstahl führt.
At Seqrite Im Rahmen unserer Sicherheitsforschung haben wir in unseren Laboren eine aktive Android-Malware-Kampagne identifiziert, die indische Nutzer ins Visier nimmt, indem sie sich als Regierungsdienste ausgibt, insbesondere als RTO-Bußgeldbescheide und offizielle Warnmeldungen. Diese schädlichen Anwendungen werden außerhalb des Google Play Stores verbreitet und hauptsächlich über WhatsApp und ähnliche Messenger-Dienste geteilt.
Diese Kampagne stellt eine Weiterentwicklung der zuvor beobachteten RTO-basierten Android-Malware dar und beinhaltet verbesserte Anti-Analyse-Techniken, eine modulare, mehrstufige Architektur sowie ein strukturierteres Backend-Ökosystem für die Datenerfassung und Fernsteuerung.
Kampagnenübersicht
Wir beobachteten eine dreistufige Android-Malware-Kampagne, die vorwiegend indische Nutzer ins Visier nahm, indem sie sich als RTO-Bußgeldbescheide und Regierungsanwendungen ausgab. Die Malware wird außerhalb des Google Play Stores verbreitet und nutzt Cloud-basierte Backend-Dienste für den Datenabfluss und die Command-and-Control-Kommunikation (C2).
Jede Phase wird als separate APK-Datei bereitgestellt und sequenziell installiert, wodurch ein verketteter Ausführungsablauf entsteht, der Folgendes bewirken soll:
- Maximieren Sie den Infektionserfolg
- Langfristige Ausdauer beibehalten
- Führen Sie verdeckte Monetarisierung durch
- Sammeln Sie sensible Nutzerdaten
Durch dieses modulare Design können Bedrohungsakteure einzelne Phasen ersetzen oder aktualisieren, ohne die gesamte Kampagne verändern zu müssen. Dies verbessert die operative Flexibilität und die Möglichkeiten zur Umgehung von Angriffen erheblich.
Mehrstufige Infektionskette
Der beobachtete Gesamtablauf stellt sich wie folgt dar:
Jede Stufe erfüllt eine spezifische Funktion und bleibt dabei eng mit dem vom Angreifer kontrollierten Backend integriert.
Phase 1 – Dropper und Kryptominer
Hauptfunktionen
- Dient als Abwurfbehälter für Nutzlasten der Stufen 2 und 3.
- Führt Kryptowährungs-Mining durch, wenn das Gerät gesperrt ist.
Die Anwendung der ersten Stufe initiiert die Infektionskette durch Entschlüsselung und Installation der nachfolgenden Stufen (siehe Abbildung 3). Parallel dazu führt sie ein Kryptomining-Modul aus, das sich bei ausgeschaltetem Bildschirm aktiviert und so den Verdacht des Nutzers sowie visuelle Anzeichen schädlicher Aktivitäten minimiert (siehe Abbildung 4).
Dieses Verhalten deckt sich mit bereits dokumentierten Fällen von Android-Kryptomanipulation, bei denen die Mining-Operationen bis zur Inaktivität des Nutzers verzögert werden, um einer Entdeckung zu entgehen. Siehe dazu unsere frühere Studie: „Android-Kryptomanipulation tarnt sich als Banking-App, um Kryptowährung auf gesperrten Geräten zu schürfen“.
Sobald die Anwendung der zweiten Stufe erfolgreich installiert ist, wird die Mining-Aktivität der Stufe 1 beendet und die Steuerung an die nächste Komponente übergeben.
Phase 2 – Persistenz, Backend-Initialisierung und Mining
Hauptfunktionen
- Etabliert Persistenzmechanismen
- Initialisiert die Backend-Verbindung
- Initiiert eigene Kryptomining-Aktivitäten
Nach der Bereitstellung durch Phase 1 gewährleistet die Anwendung in Phase 2 die langfristige Verfügbarkeit, indem sie mehrere Broadcast-Empfänger registriert, ihr Startsymbol ausblendet und eine kontinuierliche Hintergrundausführung aufrechterhält.
In diesem Stadium initialisiert die Malware die Verbindung zu ihrer Cloud-basierten Backend-Infrastruktur, hier Googles Firebase (siehe Abbildung 5), die später für Folgendes verwendet wird:
- Speicherung von Opferdaten
- Fernkonfiguration
- Befehls- und Kontrollkommunikation
Phase 2 startet zudem einen unabhängigen Kryptomining-Prozess und fungiert somit sowohl als Kontrollschicht als auch als Monetarisierungskomponente. Diese Phase dient effektiv als Brücke zwischen der anfänglichen Infektionslogik und der finalen Überwachungsnutzlast.
Phase 3 – Datendiebstahl und Überwachung
Hauptfunktionen
- Social Engineering über eine gefälschte Benutzeroberfläche der Regierung
- Erhebung von personenbezogenen Daten und Finanzinformationen
- Backend-gesteuerte C2-Kommunikation
- SMS-Weiterleitung, Benachrichtigungsdiebstahl und Anrufumleitung
Nach der Installation präsentiert die Anwendung der dritten Stufe eine gefälschte Benutzeroberfläche, die offizielle Regierungsportale täuschend echt imitiert, inklusive RTO-Branding und Logos. Die App fordert die Nutzer auf, ihre Identität zu bestätigen oder eine offene Zahlungsaufforderung zu begleichen.
Um fortzufahren, werden die Benutzer angewiesen, mehrere risikoreiche Berechtigungen zu erteilen, darunter SMS-Zugriff, Anruflisten, Benachrichtigungs-Listener, Speicherzugriff usw.
Sobald diese Berechtigungen erteilt sind, beginnt die Schadsoftware mit dem Sammeln von Daten:
- Informationen zur persönlichen Identität
- Bank- und Finanzbenachrichtigungen
- OTP-Nachrichten und Transaktionsbenachrichtigungen
- Gerätemetadaten und Systeminformationen
Alle gesammelten Daten werden im strukturierten JSON-Format an das vom Angreifer kontrollierte Backend übertragen und zur weiteren Verarbeitung gespeichert. Dieses Verhalten entspricht der zuvor dokumentierten NextGen mParivahan Malware-Kampagne. Siehe dazu unsere frühere Untersuchung: Vorsicht! Gefälschte „NextGen mParivahan“-Malware ist wieder aufgetaucht.
Zugriff auf die Backend-Infrastruktur
Nach der Analyse der mehrstufigen Malware konnten wir uns Zugang zur Backend-Infrastruktur der Angreifer verschaffen. Dies ermöglichte uns einen seltenen Einblick in die operative Seite der Kampagne und erlaubte uns, die tatsächlichen Auswirkungen, das Ausmaß und die Fähigkeiten des Malware-Ökosystems einzuschätzen.
Das Backend wurde aktiv genutzt, um gestohlene Daten zu speichern und infizierte Geräte in Echtzeit zu steuern.
Gestohlene Datentypen
Die Backend-Infrastruktur enthielt hochsensible und sicherheitskritische Informationen, darunter:
- Persönlich identifizierbare Informationen (PII): Vollständiger Name, Telefonnummer, Geburtsdatum, Name der Mutter, Aadhaar-Nummer, PAN-Nummer
- Finanz- und Qualifikationsdaten: UPI-PINs, Kreditkartendaten, Benutzernamen und Passwörter für das Online-Banking
- Überwachungsdaten: Abgefangene SMS-Nachrichten, Benachrichtigungsinhalte, Gerätestatusinformationen
Dies deutet darauf hin, dass die Schadsoftware nicht auf einfaches Phishing beschränkt war, sondern als vollwertige Plattform für Identitätsdiebstahl und Finanzbetrug fungierte.
Abbildung 8 zeigt eine Struktur, in der Daten von Bedrohungsakteuren gespeichert werden.
Die auf der Anmeldeseite vom Benutzer erfassten Daten werden im folgenden Format gespeichert:
Zur Identifizierung von Benutzer und Gerät werden Geräteinformationen und andere erfasste Details in diesem Format gespeichert –
Gesammelte Nachrichten werden im folgenden Format gespeichert –
Backend als Kommando- und Kontrollsystem (C2)
Neben ihrer Funktion als Datenspeicher wurde die Backend-Infrastruktur aktiv als Führungs- und Kontrollsystem (C2-System) genutzt.
Beobachtete C2-Fähigkeiten
- Fernkonfiguration – Dynamische Konfiguration von SMS-Weiterleitungs-Telefonnummern
- Verfolgung und Überwachung – SMS-Weiterleitungsstatus, Anrufweiterleitungsstatus, Geräteaktivität
- Zentrale Steuerung – Live-Überwachung infizierter Geräte, Betriebsstatus der Malware-Bereitstellung
Im Wesentlichen fungierte das Backend als zentrales Bedienfeld für die Bediener und ermöglichte ihnen Folgendes:
- Verwaltung gestohlener Opferdaten
- Überwachen Sie die Kampagnenleistung
- Fernsteuerung des Malware-Verhaltens
Dies bestätigt das Vorhandensein einer gut organisierten und operativ ausgereiften Bedrohungsinfrastruktur und nicht etwa eine amateurhafte oder einmalige Kampagne.
Ausmaß der Infektion und Auswirkungen auf die Opfer
Auf Grundlage der in der Backend-Infrastruktur verfügbaren Aufzeichnungen wurden etwa 7,400 Geräte infiziert. Nicht alle Betroffenen erteilten alle Berechtigungen oder übermittelten alle angeforderten Daten, aber eine beträchtliche Anzahl erlaubte den SMS-Zugriff und gab hochsensible persönliche und finanzielle Informationen preis.
Dies beweist einen groß angelegten, anhaltenden und erfolgreichen Kompromittierungsfall realer Nutzer mit langfristigen finanziellen und datenschutzrechtlichen Folgen.
Weiterentwicklung früherer RTO-Malware-Kampagnen
Im Vergleich zu zuvor dokumentierten RTO- und mParivahan-Malware-Kampagnen weist diese Kampagne deutliche operative Verbesserungen auf:
| Frühere Varianten | Aktuelle Kampagne |
| Single-Stage-APK | Dreistufige modulare Architektur |
| Fest codierte Logik | Dynamische Fernkonfiguration |
| Keine oder weniger Anti-Analyse-Technik | Umfangreiche Anwendung der Anti-Analyse-Technik |
| Begrenzter Datendiebstahl | Komplettes Überwachungstoolkit |
| Keine Monetarisierung | Doppelte Monetarisierung (Betrug + Mining) |
Diese Fortschritte deuten darauf hin, dass die Bedrohungsakteure ihre Taktiken aktiv verfeinern, erfolgreiche Komponenten wiederverwenden und gleichzeitig die Backend-Operationen und Persistenzmechanismen kontinuierlich verbessern.
Mögliche Missbrauchsszenarien
Aufgrund der beobachteten Fähigkeiten ermöglicht die Malware mehrere risikoreiche Missbrauchsszenarien, darunter:
- Echtzeit-OTP-Abfang zur Aufdeckung von Finanzbetrug
- Übernahme von Bankkonten durch Datendiebstahl
- Ermöglichung des SIM-Kartentauschs unter Verwendung gestohlener Identitätsdaten
- Kreditbetrug unter Verwendung von Aadhaar- und PAN-Daten
- WhatsApp- und Social-Media-Konto-Übernahme
Taktiken und Techniken von MITRE ATT&CK:
Quick Heal erkennt Android-Malware:
Quick Heal erkennt solche schädlichen Anwendungen mit Varianten von Android.Dropper.A
Es wird allen Mobilnutzern empfohlen, ein vertrauenswürdiges Antivirenprogramm wie „Quick Heal Mobile Security für Android“ zu installieren, um solche Bedrohungen abzuwehren und geschützt zu bleiben. Unsere Antivirensoftware verhindert, dass Nutzer schädliche Apps auf ihre Mobilgeräte herunterladen. Laden Sie Ihren Android-Schutz hier herunter.
Fazit
Diese Kampagne stellt eine signifikante Eskalation der indischen Android-Malware-Aktivitäten dar und kombiniert Social Engineering, modulare Architektur, cloudbasierte Kommandozentrale und Echtzeit-Finanzüberwachung. Das dreistufige Design in Verbindung mit Kryptomining und zentralisierter Steuerung deutet auf eine hochorganisierte Bedrohungsgruppe hin, die auf langfristige Ausnutzung statt auf opportunistische Angriffe setzt.
TIPPS FÜR IHRE DIGITALE SICHERHEIT:
- Laden Sie Anwendungen nur von vertrauenswürdigen Quellen herunter, wie Google Play Store.
- Klicken Sie nicht auf Links, die Sie über Nachrichten oder andere Social-Media-Plattformen erhalten haben, da diese absichtlich oder unabsichtlich auf bösartige Websites verweisen könnten.
- Lesen Sie die Popup-Nachrichten des Android-Systems, bevor Sie neue Berechtigungen akzeptieren oder zulassen.
- Seien Sie äußerst vorsichtig, welche Anwendungen Sie auf Ihr Telefon herunterladen, da Malware-Autoren die Namen, Symbole und Entwicklerdetails der Originalanwendungen leicht fälschen können.
- Für einen verbesserten Telefonschutz verwenden Sie immer ein gutes Antivirenprogramm wie Quick Heal Mobile Security für Android.
Warten Sie nicht! Schützen Sie Ihre Smartphones noch heute mit Quick Heal Total Security für Mobiltelefone und Smartphones – Jetzt kaufen oder verlängern!
