Android-Banking-Trojaner
PixStealer: Neuer Android-Banking-Trojaner missbraucht Zugangsdienste
Attacken gegen das Sofortzahlungssystem PIX
Check Point hat einen neuen Banking-Trojaner in Brasilien enttarnt. Hacker verbreiteten zwei Varianten mit den Namen PixStealer und MalRhino über zwei bösartige Anwendungen im Play Store von Google. Beide Apps wurden entwickelt, um das Geld der Opfer durch Benutzerinteraktion und die ursprüngliche PIX-Anwendung zu stehlen. PIX gilt als die führende Zahlungslösung in Brasilien, die täglich über 40 Millionen Transaktionen verarbeitet und wöchentlich 4,7 Milliarden Dollar umsetzt.
Check Point Research hat Attacken gegen die Anwendung PIX, eine von der brasilianischen Zentralbank verwaltetes Sofortzahlungssystem, entdeckt. Cyber-Kriminelle brachten Nutzer dazu, ihr Guthaben auf ein anderes Bankkonto zu überweisen. Auslöser waren zwei bösartige Anwendungen im Google Play Store
Die erste der beiden Variante wird als PixStealer bezeichnet. Die Angreifer haben diesen Trojaner in einer, wie Check Point Research (CPR) es nennt, schlanken Form entwickelt, die nur eine Funktion hat: Das Geld eines Opfers auf ein vom Angreifer kontrolliertes Konto zu überweisen. Schlank wird PixStealer genannt, weil er ohne Verbindung zu einem Command-and-Control-Server (C&C) operiert. Diese Fähigkeit macht es sehr wahrscheinlich, unentdeckt zu bleiben. CPR fand schließlich heraus, dass PixStealer im Google Play Store als gefälschter PagBank (brasilianische Finanztechnologie für das Online-Banking) Cashback-Service verbreitet wird, der auf die zugehörige brasilianische PagBank abzielt. Wenn ein Benutzer seine PIX-Bank-Anwendung öffnet, zeigt Pixstealer dem Opfer ein Overlay-Fenster, worin der Benutzer die Schritte des Angreifers nicht sehen kann. Hinter dem Overlay-Fenster aber ruft der Angreifer den verfügbaren Geldbetrag ab und überweist ihn auf ein anderes Konto.
CPR entdeckte außerdem eine fortschrittlichere Variante , die in der Lage ist, die gesamte PIX-Anwendung und sogar andere Banken-Anwendungen zu kapern. Unter dem Namen MalRhino fand CPR die Variante in einer gefälschten iToken-App (eine Anwendung zur Identifizierung und Authentifizierung von Benutzern) für die Brazilian Inter Bank, die ebenfalls über den Google Play Store verbreitet wird. MalRhino zeigt seinem Opfer eine Nachricht an, um es davon zu überzeugen, die Zugriffsberechtigung zu erteilen. Sobald die Erlaubnis erteilt wurde, kann MalRhino die installierten Anwendungen des Nutzers in einer Liste sammeln und mit den Gerätedaten des Opfers an einen C&C-Server senden, um dann die Banken-Anwendungen auszuführen.
