Vor einer neuen Variante der erstmals im August 2018 beschriebenen Android-Spyware Triout warnen Sicherheitsforscher von Bitdefender. Demnach hat sich die mobile Schadsoftware nun ein beliebtes Privatsphäre-Tool ausgesucht, um Nutzer zur Installation der Spionagesoftware zu verleiten. Um große Mengen persönlicher Daten zu sammeln, wurde Triout entwickelt.

Die App zählt im Google Play Store mehr als 50 Millionen Downloads. Außerhalb von Googles offiziellem Marktplatz ist sie allerdings auch erhältlich – vor allem in Ländern, in denen Google den Play Store nicht anbietet. Die App soll auch Nutzern helfen, Internetzensur zu umgehen, weswegen sie auch in Ländern mit repressiven Regierungen beliebt ist.

Die Hintermänner von Triout machten sich diesen Umstand nun zu Nutze, um die Verbreitung der Spyware zu erhöhen. Die Unterschiede zwischen der echten und der gefälschten Psiphon-App sind laut von Bitdefender veröffentlichten Screenshots kaum zu erkennen. Die gefälschte App soll sich darüber hinaus wie das Original verhalten, um bei Nutzern keinen Verdacht zu erwecken.

Die gefälschte App scheint außerdem sehr zielgerichtet eingesetzt zu werden. Sie wurde bisher vom Bitdefender nur auf sieben Geräten weltweit entdeckt – fünf davon gehören Nutzern in Südkorea und Deutschland. Allerdings ist noch unklar, wie die Cyberkriminellen ihre Opfer dazu bringen, die gefälschte App zu installieren. Spear-Phishing scheint dabei eine Rolle zu spielen, so vermuten die Forscher.

„Ob sie Social-Engineering-Techniken einsetzten, um die Opfer dazu zu bringen, die App von Marktplätzen Dritter zu installieren, oder ob sie eine Online-Kampagne vorbereiteten, die direkt auf eine begrenzte Anzahl von Nutzern ausgerichtet war, es ist an dieser Stelle ungewiss, wie die Opfer ausgewählt und infiziert wurden“, sagte Liviu Arsene, Senior E-Threat-Analyst bei Bitdefender.

Die Hintermänner von Triout änderteten außer dem „Köder“ der Analyse zufolge auch weitere Details. Der Befehlsserver soll so, an den die gesammelten Daten übertragen werden, eine IP-Adresse in Frankreich nutzen. Die Verteilung der Fake-App soll auch über die USA und nicht mehr wie bei früheren Varianten über Russland erfolgen. Es sei von daher auch weiterhin nicht möglich, die Hintermänner zu ermitteln, ergänzte Arsene.

(jf, hannover)

(siehe auch zdnet.de:)

Hannover · EDV-Beratung · Linux · Novell · Microsoft · Seminar · IT-Consult · Netzwerk · LPIC · CLE