Falsche E-Shops jagen mit Android-Malware nach Bankdaten

Die Popularität des Online-Shoppings hat in den letzten Jahren zugenommen, was durch die Pandemie noch weiter beschleunigt wurde. Um diese bequeme Möglichkeit, nie die Couch verlassen zu müssen, um neue Dinge zu kaufen, noch bequemer zu machen, nutzen die Menschen zunehmend ihre Smartphones anstelle von Computern zum Einkaufen: Im 1. Quartal 2021 machten Smartphones 69% aller Website-Besuche weltweit aus, und Käufe per Smartphone machten 57% der Online-Bestellungen aus. Ein bemerkenswerter Aspekt beim Kauf von Waren und Dienstleistungen über ein mobiles Gerät ist, dass 53% der Smartphone-Nutzer dies über anbieterspezifische Apps tun.

Cyberkriminelle nutzen dieses Wissen aus, indem sie potentielle Käufer dazu verleiten, bösartige Anwendungen herunterzuladen. In einer laufenden Kampagne, die sich an die Kunden von acht malaysischen Banken richtet, versuchen Bedrohungsakteure, Bankanmeldeinformationen zu stehlen. Das tun Sie, indem sie gefälschte Websites verwenden, die sich als legitime Dienste ausgeben. In einigen Fällen wird das Original direkt kopiert. Diese Websites verwenden ähnliche Domainnamen wie die Dienste, die sie imitieren, um ahnungslose Opfer anzuziehen.

Kampagnenübersicht

Diese Kampagne wurde erstmals Ende 2021 entdeckt. Die Angreifer gaben sich dabei als legitimer Reinigungsdienst Maid4u ausgaben. Die Kampagne, die über Facebook-Anzeigen verbreitet wird, verleitet potenzielle Opfer dazu, Android-Malware von einer bösartigen Website herunterzuladen. Sie ist zur Veröffentlichung dieses Blogposts immer noch aktiv. Seit ihrer Entdeckung sind mehrere weitere Distributions-Domains hinzugekommen. Im Januar 2022 teilte MalwareHunterTeam zudem drei weitere bösartige Websites und Android-Trojaner, die dieser Kampagne zugeschrieben werden.

Darüber hinaus fanden ESET-Forscher vier andere gefälschte Websites. Alle sieben Websites gaben sich als Dienste aus, die nur in Malaysia verfügbar sind: Sechs von ihnen, Grabmaid, Maria's Cleaning, Maid4u, YourMaid, Maideasy und MaidACall, bieten Reinigungsdienste an, und die siebte ist eine Zoohandlung namens PetsMore. Ein Vergleich der legitimen und nachgeahmten Versionen von Grabmaid und PetsMore ist in den Abbildungen 1 bzw. 2 zu sehen.

Abbildung 1. Grabmaid: legitime Website auf der linken Seite, Nachahmung auf der rechten Seite

Abbildung 2. PetsMore: legitime Website links, Nachahmung rechts

Die gefälschten Websites bieten keine Möglichkeit, direkt über sie einzukaufen. Stattdessen enthalten sie Schaltflächen, die vorgeben, Apps von Google Play herunterzuladen. Das Anklicken dieser Schaltflächen führt jedoch nicht zum Google Play Store, sondern zu Servern, die von den Bedrohungsakteuren kontrolliert werden. Damit dieser Angriff erfolgreich ist, müssen die Opfer die standardmäßig deaktivierte Option "Unbekannte Apps installieren" auf ihren Geräten aktivieren. Interessanterweise gibt es für fünf der sieben legitimen Versionen dieser Dienste nicht einmal eine App bei Google Play.

Um den Anschein der Echtheit zu erwecken, fordern die Anwendungen die Benutzer nach dem Start auf, sich anzumelden. Auf der Serverseite findet jedoch keine Kontoprüfung statt - die Software nimmt jede Eingabe des Benutzers entgegen und erklärt sie stets für korrekt. Um den Anschein eines echten E-Shops aufrechtzuerhalten, geben die bösartigen Anwendungen vor, Waren und Dienstleistungen zum Kauf anzubieten, wobei sie der Benutzeroberfläche der ursprünglichen Shops entsprechen (siehe Abbildung 3 mit einem Screenshot des Warenkorbs in einer der bösartigen Anwendungen). Wenn es an der Zeit ist, die Bestellung zu bezahlen, werden den Opfern Zahlungsoptionen angeboten - sie können entweder per Kreditkarte oder durch Überweisung des erforderlichen Betrags von ihrem Bankkonto bezahlen. Bei unseren Recherchen war es nicht möglich, die Kreditkartenoption zu wählen.

Abbildung 3. Der Einkaufskorb in einer bösartigen Anwendung

Wie bereits erwähnt, ist es das Ziel der Malware-Betreiber, an die Bankdaten ihrer Opfer zu gelangen. Nach der Auswahl der Direktüberweisungsoption wird den Opfern eine gefälschte FPX-Zahlungsseite angezeigt, auf der sie aufgefordert werden, ihre Bank aus den acht angebotenen malaysischen Banken auszuwählen und dann ihre Anmeldedaten einzugeben. Die Zielbanken sind Maybank, Affin Bank, Public Bank Berhad, CIMB Bank, BSN, RHB, Bank Islam Malaysia und Hong Leong Bank, wie in Abbildung 4 zu sehen.

Abbildung 4. Zielbanken

Nachdem die unglücklichen Opfer ihre Bankdaten eingegeben haben, erhalten sie eine Fehlermeldung, die besagt, dass die angegebene Benutzer-ID oder das Passwort ungültig sind (Abbildung 5). Zu diesem Zeitpunkt sind die eingegebenen Zugangsdaten bereits an die Malware-Betreiber gesendet worden, wie Abbildung 6 zeigt.

Abbildung 5. Fehlermeldung, die dem Opfer angezeigt wird, nachdem die Anmeldeinformationen exfiltriert wurden

Abbildung 6. Anmeldeinformationen werden an den Server des Angreifers gesendet

Um sicherzustellen, dass die Bedrohungsakteure auf die Bankkonten ihrer Opfer zugreifen können, leiten die gefälschten E-Shop-Anwendungen auch alle SMS-Nachrichten, die das Opfer erhält, an die Betreiber weiter, falls sie von der Bank gesendete Codes für die Zwei-Faktor-Authentifizierung (2FA) enthalten (siehe Abbildung 7).

Abbildung 7. Alle empfangenen SMS-Nachrichten werden an den Server des Angreifers weitergeleitet

Malware Beschreibung

Die beobachtete Malware ist eher minimalistisch: Sie ist so konzipiert, dass sie nur eine einzige Zugriffsberechtigung anfordert, nämlich das Lesen empfangener SMS-Nachrichten. Ihr Ziel ist es,  Bankdaten abzufangen und 2FA-SMS-Nachrichten von dem kompromittierten Gerät an die Betreiber weiterzuleiten. Da die Malware nicht in der Lage ist, SMS-Nachrichten vom Gerät zu entfernen, kann sie nicht verbergen, dass jemand versucht, auf das Bankkonto des Opfers zuzugreifen.

Bislang zielt die Malware nur auf Malaysia ab - sowohl die E-Shops, für die sie sich ausgibt, als auch die Banken, auf deren Zugangsdaten sie es abgesehen hat, sind malaysisch, und die Preise in den Anwendungen werden alle in der Landeswährung, dem malaysischen Ringgit, angezeigt.

Einer der Dienste, die sich in der Kampagne ausgeben, MaidACall, hat seine Nutzer bereits in einem Facebook-Post vor dieser betrügerischen Kampagne gewarnt (siehe Abbildung 8). Die anderen haben sich noch nicht öffentlich zu diesem Thema geäußert.

Abbildung 8. Warnmeldung eines Dienstes, der während der Kampagne nachgeahmt wurde

Wir haben in allen drei analysierten Anwendungen denselben Schadcode gefunden, was uns zu dem Schluss führt, dass sie alle demselben Bedrohungsakteur zugeordnet werden können.

Tipps

Um sich vor dieser Art von Bedrohung zu schützen, versuchen Sie zunächst sicherzustellen, dass Sie legitime Websites zum Einkaufen verwenden:

• Überprüfen Sie, ob die Website sicher ist, d.h. ihre URL beginnt mit https://. Einige Browser weigern sich möglicherweise sogar, Nicht-HTTPS-Websites zu öffnen, und warnen Benutzer explizit oder bieten eine Option zum Aktivieren des nur HTTPS-Modus.
• Seien Sie vorsichtig beim Klicken auf Anzeigen und gesponserten Ergebnissen in Suchmaschinen: Es ist möglich, dass sie nicht zur offiziellen Website führen

Zusätzlich gelten folgende nützliche Tipps, um ein sichereres Online-Einkaufserlebnis auf Ihrem Smartphone zu genießen:

• Achten Sie auf die Quelle der Anwendungen, die Sie herunterladen. Stellen Sie sicher, dass Sie zur App-Installation tatsächlich zum Google Play Store weitergeleitet werden.
• Verwenden Sie nach Möglichkeit Software oder Hardware 2FA anstelle von SMS
• Verwenden Sie mobile Sicherheitslösungen, um schädliche Websites und bösartige Apps zu erkennen

Fazit

Bei der beobachteten Kampagne handelt es sich um eine gefälschte E-Shop-Masche, die auf die Bankdaten von Android-Nutzern in Malaysia abzielt. Sie nutzt die Beliebtheit der Nutzung von Smartphones für Online-Einkäufe aus. Anstelle von Phishing nach Bankdaten auf Websites haben die Bedrohungsakteure Android-Anwendungen in die Infektionskette eingeschleust. So stellen sie sicher, dass sie Zugang zu 2FA-SMS-Nachrichten haben, die das Opfer wahrscheinlich erhält. Die Masche verwendet Werbeanzeigen, um potenzielle Opfer auf nachgeahmte Versionen legitimer Websites zu locken. Dort werden sie über eine gefälschte Google Play-Download-Schaltfläche zu einer bösartigen Anwendung geleitet, die von den Malware-Betreibern über eine Drittanbieter-Website verbreitet wird.

Die Kampagne zielt vorerst ausschließlich auf Malaysia ab, könnte sich aber später auf andere Länder und Banken ausweiten. Im Moment haben es die Angreifer auf Bankdaten abgesehen, aber in Zukunft könnten sie auch Kreditkarteninformationen stehlen.

Indicators of compromise (IoCs)

Samples

Netzwerk

MITRE ATT&CK Techniken

Diese Tabelle wurde mit der Version 10 des ATT&CK-Frameworks erstellt.