Android-Malware bezeichnet Schadsoftware, die sich gegen Smartphones und Tablets mit dem Betriebssystem Android richtet, dort Schadcode heimlich ausführen oder weiteren Schadcode nachladen kann und sich etwa als Trojaner oder als Banking-Malware zeigt.
Auf einen Blick
Richtet sich gegen Android-Smartphones und -Tablets
Eine vom Anwender selbst installierte manipulierte App ist ein dokumentierter Infektionsweg
Kann nach der Infektion weiteren Schadcode nachladen
Was ist Android-Malware?
Laut BSI ist die Installation einer manipulierten App durch den Anwender oder die Anwenderin selbst ein möglicher Infektionsweg bei Android-Smartphones und -Tablets. Auch in offiziellen Stores tauchen laut BSI vereinzelt manipulierte Anwendungen auf, während bei Apps aus inoffiziellen Drittanbieterquellen von vornherein eine Sicherheitskontrolle fehlt. Außerdem können Schadprogramme über Sicherheitslücken in mobilen Betriebssystemen oder in Komponenten wie dem Webbrowser auf ein Gerät gelangen. Klassische, sich selbst vervielfältigende Viren existieren unter Android im Grunde nicht; der Begriff Virus dient heute als Sammelbezeichnung für schädliche Software aller Art.
Nutzer erteilen einer App teils weitgehende Rechte, ohne die Berechtigungen zu prüfen. Installiert ein Mitarbeiter eines Versicherers eine manipulierte APK-Datei auf seinem dienstlich genutzten Smartphone, kann Android-Malware das Gerät kompromittieren, etwa als Trojaner, Spyware oder Banking-Malware. Nach der ersten Infektion wird nicht selten weiterer Schadcode aus dem Internet nachgeladen und heimlich auf dem Gerät installiert. Manipulierte oder neu verpackte Apps sind ein beliebter Weg für Cyberkriminelle, neue Opfer zu finden; dazu wird Schadcode in legitime Apps eingefügt.
Wie funktioniert Android-Malware?
Nach der ersten Infektion kann eine manipulierte App weiteren Schadcode aus dem Internet nachladen und heimlich auf dem Gerät installieren, wie es auch viele Schadprogramme für PCs und Notebooks tun. Der vom BSI beschriebene Banking-Trojaner Anatsa erlangt die volle Kontrolle über ein infiziertes Gerät und kann Transaktionen im Namen des Opfers durchführen. In einem dokumentierten Fall konnten im Google Play Store aufgetauchte Banking-Trojaner zudem SMS-Textnachrichten abfangen und umleiten, um eine Zwei-Faktor-Authentifizierung zu umgehen; sie tarnten sich als Geräte-Optimierer, Batterie-Manager oder Horoskop-Apps.
Laut BSI tarnen sich viele der im Google Play Store entdeckten schädlichen Banking-Apps als harmlose PDF-Reader und laden den Schadcode erst nach der Installation nach (Dropper-Methode). In anderen Fällen erhielten Opfer von Anatsa eine SMS mit der Aufforderung, auf einen Link zu klicken, der zum Download der Schad-App führte. Das gefährdete Gerät kann durch Entfernen der App desinfiziert werden, was Anatsa jedoch zu verhindern sucht; ein Zurücksetzen auf den Werkszustand kann notwendig sein. Das BSI weist zudem darauf hin, dass populäre Apps, vor allem Spiele, nachgeahmt werden.
Woran erkenne ich Android-Malware?
| Signal | Woran erkennbar |
|---|---|
| App verlangt Berechtigungen, die nicht zu ihrem Zweck passen | Skepsis ist angebracht, wenn etwa eine Anwendung zum Speichern von Notizen auf die SMS-Funktion zugreifen will. |
| Ungewöhnlich hohe Akkubelastung | Eine ungewöhnlich hohe Akkubelastung kann ein Hinweis auf Schadsoftware sein. |
| Starke Erwärmung des Geräts im Leerlauf | Eine starke Erwärmung im Leerlauf kann ein Hinweis auf Schadsoftware sein. |
| Plötzlich stark angestiegener Datenverbrauch | Ein plötzlich stark angestiegener Datenverbrauch kann ein Hinweis auf Schadsoftware sein. |
Schutz im Ernstfall
Vorbeugen
- Apps auf dienstlich genutzten Android-Geräten nur aus vertrauenswürdigen Quellen zulassen, etwa den voreingestellten App-Stores der Hersteller.
- Die Installation von APK-Dateien aus externen Quellen auf dienstlich genutzten Geräten nicht zulassen.
- Die Zugriffsrechte einer App auf ihren Zweck prüfen und etwa eine Notizen-App mit Zugriff auf die SMS-Funktion hinterfragen.
Was tun im Ernstfall
- Das betroffene Gerät vom Netzwerk trennen.
- Den Vorfall der IT-Sicherheit melden.
- Alle auf dem Gerät verwendeten Zugangsdaten sofort von einem nicht betroffenen Gerät aus ändern.
- Das Gerät durch die IT-Sicherheit prüfen lassen; ein Zurücksetzen auf den Werkszustand kann notwendig sein.
Beispiele aus der Praxis
- FluBot breitete sich in Europa schnell über eine SMS aus, die eine Paketzustellung vortäuschte.
- Eine harmlos wirkende Währungsrechner-App, die von mehr als 10.000 Nutzern aus Google Play heruntergeladen wurde, war darauf ausgelegt, den Banking-Trojaner Cerberus zu verbreiten.
- Eine Browser-Warnung vor angeblichen Viren, die sich nicht schließen lässt, muss nicht auf installierte Android-Malware hindeuten.
- Eine manipulierte APK-Datei auf dem Diensthandy eines Versicherers kann Android-Malware auf das Gerät bringen, etwa einen Trojaner oder Banking-Malware.
Die Varianten im Detail (3)
Kollusionsangriff Kollusionsangriff ist ein Angriff, bei dem mehrere Apps ihre Berechtigungen gemeinsam missbrauchen.
Jede einzelne App wirkt harmlos, weil sie nur wenige Rechte anfordert. Erst im Zusammenspiel tauschen die Apps Daten aus und erreichen Funktionen, die keine allein hätte, was Prüfungen einzelner Apps umgeht.
Man-in-the-Disk-Angriff Man-in-the-Disk-Angriff ist die Manipulation von Dateien im gemeinsam genutzten Speicher eines Geräts.
Unter Android legen Apps Daten teils im externen Speicher ab, auf den andere Apps zugreifen können. Angreifer verändern dort Dateien oder Updates, sodass eine vertrauenswürdige App unbemerkt schädlichen Code nachlädt.
YoWhatsApp-Trojaner YoWhatsApp-Trojaner ist Schadsoftware, die sich in einer inoffiziellen Messenger-Modifikation verbirgt.
Die Anwendung wird außerhalb der offiziellen Stores als Messenger mit Zusatzfunktionen verbreitet. Im Hintergrund späht sie Daten aus oder bewegt Nutzer zu unerwünschten Aktionen, etwa dem Abfangen von Bestätigungscodes.
Häufiger Irrtum
Mythos „Eine Systemmeldung im Browser über angebliche Viren zeigt, dass das Android-Gerät mit Malware infiziert ist.“
Richtig Erscheint beim Surfen eine vermeintliche Systemmeldung über angebliche Viren oder lässt sich ein Tab nicht mehr schließen, liegt meist keine Malware vor.
