RedWing-Android-Malware auf Telegram als Miet-Betrugskit verkauft

Eine neue, als RedWing bezeichnete Android-Betrugsoperation wird auf Telegram als schlüsselfertiger Malware-Dienst vermarktet. Dadurch sinkt die technische Einstiegshürde für Angreifer, die Bankdaten und Einmalpasswörter von Mobilgeräten stehlen wollen.

Forschende von Zimperiums zLabs zufolge ähnelt die Kampagne einer neueren Version von Oblivion, einem Malware-Mietangebot, das zuvor für etwa 300 US-Dollar pro Monat beworben wurde. RedWing wird als abonnementbasiertes Produkt mit Einführungsanleitungen, Empfehlungsprämien und Videoanleitungen angeboten. Käufer können über einen Telegram-Bot eigene Builds erstellen, ohne selbst über Entwicklungskenntnisse zu verfügen.

So funktioniert die Infektion

Die Operation beginnt typischerweise mit einem Phishing-Link, der zu einer gefälschten App-Verteilungsseite führt. Den Forschenden zufolge kann der Builder beliebte App-Stores wie Google Play, Samsungs Galaxy Store und Huaweis AppGallery nachahmen. Außerdem lassen sich vollständig benutzerdefinierte Seiten mit gefälschten Bewertungen, Rezensionen und Downloadzahlen erstellen.

Sobald ein Opfer die App außerhalb eines offiziellen Stores installiert, fordert die Malware die Berechtigungen nacheinander an. Zunächst verlangt sie Zugriffsrechte, die auf den ersten Blick routinemäßig erscheinen, darunter Benachrichtigungszugriff, Ausnahmen von der Akkuoptimierung, die standardmäßige Verarbeitung von SMS und Android-Bedienungshilfen. Letztere Berechtigung ist besonders wichtig, da sie Angreifern ermöglichen kann, die Bildschirmanzeige auszulesen und im Namen des Nutzers mit dem Gerät zu interagieren.

Was die Malware kann

• Gefälschte Anmeldefenster über echten Banking- und Krypto-Apps anzeigen, um Passwörter abzugreifen
• Eingehende Textnachrichten abfangen und Einmal-Bestätigungscodes sammeln
• Bedienungshilfen nutzen, um Kartendaten, PINs und andere vertrauliche Informationen auszulesen
• Eine Anrufweiterleitung über einen versteckten Mobilfunkcode aktivieren, um Bestätigungsanrufe umzuleiten
• Den Bildschirm live übertragen, Tastatureingaben aufzeichnen und Betreibern die Fernsteuerung des Telefons ermöglichen
• Kamera und Mikrofon aktivieren, Dateien auslesen sowie Kontakte, Protokolle und Standortdaten sammeln
• Infizierte Geräte für Denial-of-Service-Datenverkehr gegen ausgewählte Websites gruppieren

Zimperium identifizierte Dutzende angegriffener Institutionen und erklärte, der derzeitige Schwerpunkt liege offenbar auf russischen Finanzorganisationen. Die Zielliste kann jedoch über das Kontrollpanel geändert werden. Die Forschenden stellten außerdem Hinweise auf eine Ausrichtung auf den russischen Markt fest, darunter eine gefälschte RuStore-Seite in einer Probe, bestätigten jedoch keine Attribution.

Die Kampagne spiegelt eine breitere Entwicklung bei Android-Betrug wider: Kriminelle greifen zunehmend direkt auf dem Gerät an und agieren innerhalb der legitimen Banking-Sitzung eines Opfers, anstatt sich ausschließlich auf gestohlene Passwörter zu verlassen. Da RedWing auf Sideloading und vom Nutzer erteilten Berechtigungen statt auf einer Software-Schwachstelle beruht, konzentrieren sich die Sicherheitsempfehlungen darauf, Apps außerhalb offizieller Stores zu vermeiden und riskante Berechtigungsanfragen zu begrenzen.