- Anzeigen -


Sie sind hier: Home » Virenwarnung » Hintergrund

Auswirkungen der Triada-Infektionen


Triada übernimmt heimlich die Kontrolle über Android-Geräte
Kaspersky Lab identifiziert komplexen und modularen Android-Trojaner

(08.04.16) - Kaspersky Lab identifiziert Triada, eine neue, sehr komplex und modular arbeitende Malware, die sich gegen die Android-Plattform richtet. Die Schädlingsversionen von Triada nisten sich im Hauptspeicher eines infizierten Geräts ein und sind daher kaum zu erkennen und zu entfernen. Zudem können sie nach der Installation laufende Prozesse von Android modifizieren (Zygote-Prozess). Zu den negativen Auswirkungen der Triada-Infektionen gehört das Abfangen von In-App-Kaufprozessen per SMS. Endgeräte mit Android 4.4.4 und früher sind besonders gefährdet.

Laut den Experten von Kaspersky Lab waren im vergangenen Jahr elf der 20 am weitesten verbreitetsten Trojaner in der Lage, sich Zugriffsrechte für Verwaltungsaufgaben auf Android-Geräten (Superuser) zu verschaffen und so unbemerkt vom Nutzer Apps auf einem infizierten Gerät zu installieren. Zu dieser Kategorie gehören die mobilen Trojaner-Familien Ztorg, Gorpo und Leech, deren Hintermänner – wie jetzt bekannt wurde – miteinander kooperieren und gemeinsam die Triada Plattform einsetzen.

Wird ein Gerät mit Ztorg, Gorpo oder Leech infiziert, können infizierte Geräte durch die bereits erlangten Administratorrechte den Triada-Downloader herunterladen und nachinstallieren. Dieser wiederum agiert als Startplattform und ist in der Lage, weitere Module der Triada-Schadsoftware nach zu installieren und entsprechende Funktionen nachzurüsten. Das Downloader-Programm und die von ihm geladenen Programme gehören unterschiedlichen Trojaner-Arten an, allerdings wurden sie von Kaspersky Lab unter der allgemeinen Bezeichnung Triada in seine Datenbanken aufgenommen.

Die Komplexität von Triada zeigt, dass hier äußerst professionelle Cyberkriminelle am Werk sind, die tiefgehende Kenntnisse über die Android-Plattform besitzen “, sagt Christian Funk, Leiter des deutschen Forschungs- und Analyseteams bei Kaspersky Lab.

Triada nutzt Zygote-Prozess und ist kaum zu entdecken
Ein gemeinsames Merkmal der Schädlingsgruppierung Triada ist die Verwendung von Zygote, einem Android-Systemprozess, über den Anwendungen gestartet werden. Dabei wird auch auf Systembibliothek und Frameworks zugegriffen, die jede auf dem Gerät installierte App benötigt. Dieser Standardprozess dient als Vorlage zur Ausführung aller neu installierten Android-Anwendungen. Wird ein Gerät infiziert, nistet sich ein Triada-Trojaner in diesem Prozess ein und wirkt dann auf alle nachfolgend ausgeführten Apps auf dem Gerät. Dadurch kann sich auch die jeweilige Logik der Anwendungen verändern.

Bislang war diese Methode nur als Machbarkeitsstudie bekannt. Nun wurde mit Triada eine Schadsoftware, die den Zygote-Mechanismus nutzt, erstmals tatsächlich von Cyberkriminellen in der Praxis eingesetzt.

Da sich Triada in fast jeden Arbeitsprozess einnistet und die einzelnen Zusatzmodule nur im Hauptspeicher existieren, kann der Trojaner nach seiner Installation mit herkömmlichen Anti-Malware-Lösungen kaum erkannt und entfernt werden. Triada operiert im Verborgenen und zeigt seine schädliche Wirkung weder dem Nutzer noch anderen Anwendungen.

Das Triada-Geschäftsmodell
Triada modifiziert vor allem SMS-Mitteilungen, die von anderen Apps verschickt werden. Werden also zum Beispiel innerhalb einer Anwendung, etwa einem Spiel, via Kurzmitteilung In-App-Käufe getätigt, könnten die hinter Triada steckenden Cyberkriminellen diese SMS so modifizieren, dass das Geld bei ihnen statt bei den Spieleentwicklern ankommt.

Einmal installiert lässt sich die Malware kaum mehr von den Geräten entfernen. Den Anwendern bleibt nur, das Gerät komplett neu zu „rooten“ und die schadhaften Anwendungen manuell zu entfernen. Alternativ muss ein Jailbreak des Android-Systems durchgeführt werden.Die Schutzlösungen von Kaspersky Lab wie Kaspersky Internet Security for Android identifizieren die Komponenten von Triada als Trojan-Downloader.AndroidOS.Triada.a, Trojan-SMS.AndroidOS.Triada.a, Trojan-Banker.AndroidOS.Triada.a beziehungsweise Backdoor.AndroidOS.Triada. (Kaspersky Lab: ra)

Kaspersky Lab: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.

- Anzeigen -





Kostenloser IT SecCity-Newsletter
Ihr IT SecCity-Newsletter hier >>>>>>

- Anzeigen -


Meldungen: Hintergrund

  • Gefälschte Office-365-Mails im Umlauf

    Die Sicherheitsexperten von Retarus warnen vor einer besonders perfiden Phishing-Angriffswelle: Derzeit befinden sich personalisierte Phishing-Mails in einem täuschend echten Microsoft-Layout im Umlauf, die den Empfänger unter anderem zu einer zweifachen Passwort-Eingabe auffordern. Retarus empfiehlt daher die sorgfältige Überprüfung enthaltener Links. Zusätzlichen Schutz bieten spezielle E-Mail-Security-Lösungen mit umfangreicher Phishing-Filterung und modernen Funktionen für die Advanced Threat Protection.

  • In Asien verheerende Schäden angerichtet

    Die Cyberspionage-Infrastruktur "PZChao" hat seit spätestens Juli 2017 Behörden, Bildungseinrichten und Technologie- und Telekommunikationsunternehmen angegriffen. Jetzt legt Bitdefender erstmals eine detaillierte Analyse zu PZChao vor: Der Malware-Werkzeugkasten, der vor allem auf Ziele in Asien und den USA ausgerichtet ist, verfügt über eine umfassende Infrastruktur zur Auslieferung von Komponenten und eine Fernzugriffskomponente, die eine feindliche Übernahme des kompromittierten Endgeräts erlaubt - bis hin zur Live-Verwendung von Mikrofon und Kamera. Überraschenderweise ebenfalls enthalten: ein Cryptominer, um Bitcoins zu schürfen - dies wurde in derart gezielten Attacken bisher nicht beobachtet.

  • Bösartige Aktivität von AdultSwine

    Sicherheitsforscher von Check Point Software Technologies haben einen neuen bösartigen Code im Google Play Store entdeckt, der sich in fast 60 Kinderspiel-Apps versteckt. Nach Angaben von Google Play wurden die Apps bisher zwischen 3 und 7 Millionen Mal heruntergeladen.Die Malware, AdultSwine genannt, richtet in dreierlei Hinsicht verheerenden Schaden an.

  • Mehrstufige Spyware ermöglicht Fernsteuerung

    Experten von Kaspersky Lab haben mit der Spyware ‚Skygofree' ein sehr fortschrittliches mobiles Implantat entdeckt. Die Android-Spionage-Malware ist seit dem Jahr 2014 aktiv und wurde für zielgerichtete Cyberüberwachung entwickelt, möglicherweise auch für offensive Cyberoperationen. Zu den fortschrittlichen Funktionen von Skygofree zählt beispielsweise die Möglichkeit, standortbasierte Audioaufnahmen über infizierte Geräte zu machen. Die Spyware wird über Internetseiten, die Seiten führender Mobilfunknetzbetreiber imitieren sollen, verbreitet.

  • Point-of-Sale-Malware "LockPOS"

    Die "LockPOS" genannte Point-of-Sale-Malware wurde erstmals 2017 beobachtet. Es handelt sich um einen Infostealer, der Daten von Zahlungskarten wie Kreditkarten aus dem Speicher der betroffenen Point-of-Sale-Systeme abzieht. Sicherheitsanalyst Henok Asfaw, Senior Threat Researcher beim Spezialisten für KI-basierende Malware-Abwehr bei Cylance, hat sich die jüngste Variante von LockPOS in seinem aktuellen Blog genauer angesehen. LockPOS hat - wie dokumentiert - die Injection-Technik so verändert, dass sie die Malware nun direkt im Kernel, also dem Betriebssystemkern, platziert. Das macht es bedeutend schwieriger die Schadsoftware aufzudecken und dient in erster Linie dazu traditionell arbeitende Antivirenlösungen zu umgehen.