Sicherheitsforscher von ThreatFabric haben die Android-Malware Hirudo entdeckt, die installierte Banking-Apps durch manipulierte Versionen ersetzt und dabei Daten abgreift. Wie chip.de berichtet, fanden die Forscher bislang Kopien von acht Bankanwendungen.
Hirudo tarnt sich demnach als Shopping-, Unterhaltungs- oder Kurzvideo-App und fordert unter einem Vorwand Zugriffsrechte an, darunter die Bedienungshilfen. Danach entfernt die Schadsoftware die originale Banking-App, lädt eine veränderte Version herunter und installiert sie. Ein integrierter Hooking-Mechanismus kann laut ThreatFabric unter anderem Signaturprüfungen, Accessibility-Kontrollen und Play-Integrity-Abfragen umgehen. Die manipulierte App sehe weitgehend wie das Original aus.
Gleichzeitig können Angreifer nach Angaben von ThreatFabric Bankpasswörter, Zahlungs- und Geräte-PINs, SMS sowie Bildschirminhalte abgreifen; auch Kamera und Mikrofon ließen sich missbrauchen. Gefälschte Zahlungsseiten zeigten nach der Eingabe von Daten einen erfolgreichen Abschluss an.
ThreatFabric beobachtete Hirudo zunächst bei Banking-Apps aus Indonesien. Hinweise gibt es außerdem auf Angriffe gegen Finanzorganisationen in China, Indien, Mexiko, Marokko und Thailand. Die Zahl der Betroffenen ist bislang unbekannt, soll aber in den Tausenden liegen.
Android-Nutzer sollten Apps nur aus offiziellen Quellen installieren, keine APK-Dateien aus unbekannten Stores öffnen, Geräte aktuell halten und regelmäßig Play Protect ausführen. Bei Verdacht auf Malware rät das Bundesamt für Sicherheit in der Informationstechnik (BSI) laut chip.de, zuerst vor Kurzem installierte Apps zu prüfen und diese umgehend zu löschen.
