Neuer Trojaner verbreitet sich über Google Play & Co.
Experten haben den Necro-Trojaner entdeckt, der weltweit mindestens elf Millionen Nutzer infiziert hat. Er wurde sowohl im Google Play Store als auch auf inoffiziellen Plattformen gefunden, oft versteckt in modifizierten Versionen von Apps wie Spotify, WhatsApp und Minecraft. Der Trojaner kann weitere Drittanbieter-Apps installieren und möglicherweise kostenpflichtige Abonnements abschließen. Betroffen sind Nutzer in der DACH-Region, Russland, Vietnam und Brasilien.
Eine neue, gefährliche Variante des Necro-Trojaners, entdeckt von Kaspersky-Experten, kann Module auf Smartphones herunterladen und so Angreifern ermöglichen, auf unterschiedliche Ressourcen zuzugreifen und das infizierte Gerät in ein Proxy-Botnetz zu integrieren.
Der Trojaner kann:
- Unsichtbare Werbung anzeigen und darauf klicken,
- Ausführbare Dateien herunterladen,
- Drittanbieter-Apps installieren und
- Beliebige Links in unsichtbaren WebView-Fenstern öffnen, um JavaScript-Code auszuführen.
Diese Funktionen erlauben es dem Trojaner, Nutzer für kostenpflichtige Dienste zu registrieren und den Internetverkehr über das Gerät des Opfers umzuleiten.
Die Kaspersky-Experten haben den Trojaner Necro erstmals in einer modifizierten Version von Spotify Plus entdeckt. Diese App versprach angeblich zusätzliche Funktionen und Sicherheit, die die offizielle Musik-Streaming-App nicht bietet.
Doch bald darauf stießen die Sicherheitsexperten auf weitere infizierte Anwendungen, darunter modifizierte Versionen von WhatsApp, Minecraft, Stumble Guys und Car Parking Multiplayer, in die Necro über ein nicht verifiziertes Werbemodul eingebettet war.
Gefährliche Verbreitung über Google Play
Zusätzlich fanden sie den Trojaner auch in Google Play, speziell in den Apps Wuta Camera und Max Browser, die zusammen über elf Millionen Downloads verzeichneten. Auch hier wurde Necro über ein nicht verifiziertes Werbemodul verbreitet. Nach der Warnung von Kaspersky an Google wurden umgehend Maßnahmen ergriffen: Der Schadcode in Wuta Camera wurde entfernt, während Max Browser aus dem Store entfernt wurde. Die Entdeckung von Necro wirft erneut ein Schlaglicht auf die Gefahren durch modifizierte Apps und die Notwendigkeit, sich vor Cyberbedrohungen zu schützen.
Die Gefahr modifizierter Apps und Steganografie
Dmitry Kalinin, Cybersicherheitsexperte bei Kaspersky, erklärt: „Nutzer laden oft modifizierte Apps herunter, um Beschränkungen zu umgehen oder zusätzliche Funktionen zu erhalten. Cyberkriminelle nutzen dieses Verhalten aus, um Malware über unsichere Drittanbieter-Plattformen zu verbreiten. Bemerkenswert ist, dass Necro Steganografie-Techniken anwendet, um seine Nutzlast in Bildern zu verstecken – eine seltene Methode für Mobile-Malware.“
