Xbot ist eine Android-Malware-Familie, die als Banking-Trojaner und als Ransomware zugleich fungiert, indem sie Bank-Logins per Phishing-Seiten angreift, Dateien auf externen Speichermedien verschlüsselt und infizierte Geräte sperrt, um Lösegeld zu erpressen.
Auf einen Blick
Xbot ist im MITRE-ATT&CK-Framework unter der Kennung S0298 erfasst, was Sicherheitsteams eine einheitliche Referenz für Erkennungsregeln und Berichte liefert.
Als Lösegeld verlangt Xbot laut MITRE ATT&CK eine PayPal-Guthabenkarte.
Weil Xbot Bank-Logins per Phishing angreift und zudem Dateien verschlüsseln sowie Geräte sperren kann, beeinträchtigt ein einzelner Infektionsfall unter Umständen sowohl die Vertraulichkeit von Zugangsdaten als auch die Verfügbarkeit des Geräts.
Was ist Xbot?
Xbot ist eine Android-Malware-Familie, die als Banking-Trojaner und als Ransomware zugleich fungiert. Die Schadsoftware nutzt Phishing-Seiten, die Bank-Login-Seiten nachahmen, verschlüsselt Dateien auf externen Speichermedien wie SD-Karten und sperrt infizierte Geräte, um zusätzlich Lösegeld zu erpressen. Das MITRE-ATT&CK-Framework führt Xbot unter der Kennung S0298, was eine einheitliche Zuordnung von Erkennungsregeln und Analysen ermöglicht. Laut MITRE ATT&CK wurde die Malware 2016 beobachtet und richtete sich vor allem gegen Android-Nutzer in Russland und Australien; nach der Installation konnte sie sowohl Phishing-Seiten für Bank-Logins anzeigen als auch das Gerät sperren. Als Lösegeld forderte Xbot in dokumentierten Fällen PayPal-Guthabenkarten.
Ein betroffener Mitarbeiter eines Versicherers kann bei einer Xbot-Infektion doppelt betroffen sein: Die Verschlüsselung von Dateien auf der SD-Karte nimmt ihm den Zugriff auf dort gespeicherte Unterlagen, während eingeblendete Phishing-Seiten für Bank-Logins die Vertraulichkeit persönlicher oder dienstlicher Finanzdaten gefährden. Nutzt ein Mitarbeiter dasselbe Mobilgerät für private Bank-Apps und dienstliche Kommunikation, kann eine einzelne Infektion beide Bereiche gleichzeitig betreffen. Für den Umgang mit einem Verdachtsfall zählt deshalb sowohl die Wiederherstellung der Gerätedaten als auch eine unabhängige Prüfung, ob Bankzugänge kompromittiert wurden.
Wie funktioniert Xbot?
Xbot kombiniert zwei Schadfunktionen, die auf demselben ursprünglichen Zugang zum Gerät aufbauen: das Abgreifen von Bank-Logins über Phishing-Seiten und die Erpressung über Dateiverschlüsselung und Gerätesperre. Laut SecurityWeek wurde die Schadsoftware in 22 Android-Anwendungen gefunden; sie fordert vom Nutzer Administratorrechte an. Zudem zeigt Xbot Phishing-Seiten an, die Bank-Login-Seiten und die Zahlungsoberfläche von Google Play nachahmen. Zusätzlich kann die Malware Dateien auf externen Speichermedien wie SD-Karten verschlüsseln und das Gerät aus der Ferne sperren, sodass der Nutzer weder auf diese Dateien noch auf die Grundfunktionen des Geräts zugreifen kann. Die Freigabe verknüpft Xbot mit einer Lösegeldforderung, die in dokumentierten Fällen auf PayPal-Guthabenkarten lautete. Die Kombination aus Phishing und Geräteblockade verschafft den Angreifern damit zwei getrennte Wege, aus einer einzigen Infektion einen finanziellen Vorteil zu ziehen, selbst wenn eine der beiden Schadfunktionen frühzeitig entdeckt und unterbunden wird.
Woran erkenne ich Xbot?
| Signal | Woran erkennbar |
|---|---|
| Gerätesperre mit Zahlungsaufforderung in PayPal-Guthabenkarten | Die Sperrmeldung fordert PayPal-Guthabenkarten als Lösegeld an |
| Verschlüsselte Dateien auf externen Speichermedien | Betroffen sind Dateien auf externen Speichermedien wie SD-Karten |
| Überzogene Berechtigungsanfragen einer scheinbar harmlosen App | Eine frisch installierte App fordert weitreichende Berechtigungen wie Administratorrechte an, die für ihren angegebenen Zweck nicht plausibel sind |
| Gefälschte Eingabemasken über Banking-Apps | Beim Öffnen einer Banking-App erscheint eine zusätzliche Eingabemaske, die nicht zur gewohnten App-Oberfläche gehört |
Schutz im Ernstfall
Vorbeugen
- Android-Apps nur aus offiziellen App-Stores installieren und angeforderte Berechtigungen vor der Installation prüfen.
- Banking-Apps direkt starten statt über Links aus Nachrichten oder Werbeanzeigen zu öffnen.
- Sicherheitsupdates für das Betriebssystem zeitnah installieren, um bekannte Schwachstellen zu schließen.
Was tun im Ernstfall
- Gerät vom Mobilfunknetz und WLAN trennen, um eine weitere Kommunikation der Schadsoftware zu unterbinden.
- Betroffene Bankkonten sperren lassen und die Bank über den Verdacht auf einen Banking-Trojaner informieren.
- Gerät auf Werkseinstellungen zurücksetzen, Apps neu aus dem offiziellen App-Store installieren und Daten erst nach der Bereinigung aus geprüften, integren Backups wiederherstellen.
- Passwörter für betroffene Konten von einem nicht kompromittierten Gerät aus ändern.
Beispiele aus der Praxis
- Bei den 2016 beobachteten Angriffen auf Android-Nutzer in Russland und Australien konnte Xbot Dateien auf SD-Karten verschlüsseln und anschließend eine PayPal-Guthabenkarte als Lösegeld verlangen.
- Nach der Installation zeigte Xbot Phishing-Seiten für Bank-Logins an und sperrte das Gerät per Fernbefehl.
- Eine scheinbar harmlose App mit eingebettetem Xbot fordert Administratorrechte an; werden sie gewährt, kann die Malware das Gerätepasswort zurücksetzen und den Bildschirm sperren.
- Nutzt ein Mitarbeiter eines Versicherers ein privates Android-Gerät auch für dienstliche Zwecke, kann eine Xbot-Infektion sowohl auf der SD-Karte gespeicherte Arbeitsunterlagen verschlüsseln als auch dem Mitarbeiter Phishing-Seiten für sein privates Bank-Login unterschieben.
Häufiger Irrtum
Mythos „Ein Irrtum ist die Annahme, Ransomware auf Mobilgeräten beschränke sich auf das Sperren des Bildschirms, ohne dass Daten selbst verschlüsselt werden.“
Richtig Xbot widerlegt das: Die Malware verschlüsselt zusätzlich Dateien auf externen Speichermedien und nutzt Phishing-Seiten, die Bank-Login-Seiten nachahmen; die reine Bildschirmsperre ist nur eine von mehreren Schadfunktionen.
