Triada

Was ist Triada?

Triada ist ein Trojaner für Android-Geräte, der weitere Schadprogramme von einem Server nachlädt und ausführt; als Hauptfunktion nennt das BSI das Mitschneiden von SMS-Nachrichten. Die als Backdoor.AndroidOS.Triada bezeichnete Malware-Familie war hauptsächlich dafür entworfen, finanzielle SMS-Transaktionen umzuleiten, um zusätzliche Inhalte zu kaufen oder Geld zu stehlen. Triada ist eine Malware-Familie mit mehreren Varianten: Bei der Variante Android.Triada.231 gelang es den Autoren, den Schadcode in die Systembibliothek libandroid_runtime.so einzuschleusen und so die Firmware eines Geräts bereits bei der Herstellung zu kompromittieren, sodass Nutzer bereits infizierte Smartphones erhielten. Bei einem Gerätehersteller soll die manipulierte Firmware von einem externen Softwareentwickler an den Hersteller gelangt sein.

Gelangt Triada auf das Android-Smartphone eines Mitarbeiters eines Versicherers, kann sich der Trojaner mit erhöhten Systemrechten im Betriebssystem einnisten und zusätzliche Schadsoftware nachladen und ausführen. Um sich im Systemprozess Zygote zu verankern, soll sich der Trojaner nach Angaben von Sicherheitsforschern Root-Rechte auf nicht näher beschriebenen Wegen verschaffen. In der Anfang 2016 entdeckten Form ersetzte Triada mit Root-Rechten Systemdateien und hielt sich hauptsächlich im Arbeitsspeicher, wodurch der Trojaner schwer zu entdecken war.

Wie funktioniert Triada?

Triada schleust Code in den Zygote-Prozess von Android ein, der als Vorlage für neue Apps dient, und läuft dadurch in den daraus gestarteten Prozessen mit. In der Anfang 2016 entdeckten Form nutzte Triada Root-Rechte, um Systemdateien zu ersetzen. Die modulare Architektur ermöglichte den Betreibern, nahezu alles auf dem Gerät zu tun, begrenzt durch die Möglichkeiten des Betriebssystems. Der Trojaner soll laufende Apps manipulieren und zusätzliche Module für weitere Funktionen herunterladen können, ohne dass der Nutzer eingreift, etwa um Anwendungen heimlich herunterzuladen und zu starten. Die Module wurden vor den Listen laufender Dienste, laufender Anwendungen und installierter Pakete verborgen.

Laut MITRE ATT&CK nutzte Triada eine Backdoor in einer Play-Store-App, um zusätzliche manipulierte Apps vom Command-and-Control-Server zu installieren. Ist die Schadsoftware auf der Gerätefirmware vorinstalliert, erfordert sie keine Interaktion des Benutzers; außerdem sind verschiedene andere Trojaner in der Lage, sie nachzuladen. Triada kann zudem die URLs von Werbebannern auf besuchten Websites auf bestimmte Werbe-URLs umleiten.

Schutz im Ernstfall

Vorbeugen

• Nur von der IT-Sicherheit freigegebene Mobilgeräte im Unternehmen einsetzen
• Die Installation von Apps auf Firmengeräten über eine von der IT-Sicherheit verwaltete Quelle regeln
• Mobilgeräte mit nicht freigegebener Firmware oder unbekannter Herkunft nicht mit Firmenkonten verbinden

Was tun im Ernstfall

• Das betroffene Gerät vom Netzwerk trennen
• Den Vorfall der IT-Sicherheit melden, bevor selbst etwas entfernt wird
• Zugangsdaten, die auf dem Gerät verwendet wurden, sofort von einem nicht betroffenen Gerät aus ändern und per SMS empfangene Bestätigungscodes für diese Zugänge als kompromittiert behandeln
• Das Gerät durch die IT-Sicherheit prüfen lassen; ist die Schadsoftware Teil der Gerätefirmware, wird empfohlen, sich beim Hersteller des Telefons um ein Firmware-Update zu bemühen