Sicherheitsfachleute von ThreatFabric stießen bereits Anfang 2022 auf die bösartige Banking-Malware in Android-Apps. Nun entdeckten die Analyst*innen eine neue Variante dieser Familie, die sie als Xenomorph.C beziehungsweise v3 klassifizieren.

Xenomorph v3: Trojaner macht Android-Apps heimlich gefährlich

Im Februar 2022 warnte ThreatFabric erstmals vor Android-Apps, die mit dem Trojaner verseucht waren. Nach einem Update soll dieser nun noch aggressiver geworden sein und sogar die als eigentlich sicher geltende Multi-Faktor-Authentifizierung umgehen können. Die Sicherheitsexpert*innen erklären dazu:

„Als Alternative [zur SMS zur Durchführung der Multi-Faktor-Authentifizierung] scheinen sich viele Institute für die Verwendung von Authenticator-Anwendungen entschieden zu haben. Solche Anwendungen werden jedoch häufig auf demselben Gerät verwendet, das auch für die Transaktion genutzt wird. Eine moderne Banking-Malware, die auf einem infizierten Gerät installiert ist, kann eine betrügerische Transaktion einleiten, indem sie die gezielte Banking-Anwendung missbraucht und gleichzeitig die Authenticator-App zum Auslesen der erforderlichen Authentifizierungscodes verwendet.“
ThreatFabric

Die Kriminellen hinter Xenomorph v3 (3. Version) sollen ein Modul für genau diesen Zweck entwickelt haben, heißt es weiter. Demnach wird es immer dann ausgelöst, wenn die Android-App zur Authentifizierung von der Malware gestartet wird.

„Mit diesen neuen Funktionen ist Xenomorph nun in der Lage, die gesamte Betrugskette von der Infektion bis hin zur Exfiltration von Geldern zu automatisieren, was ihn zu einem der fortschrittlichsten und gefährlichsten Android-Malware-Trojaner im Umlauf macht.“
ThreatFabric

18 deutsche Banken betroffen

Gefunden wurde der Trojaner in einer Android-App, die zum jetzigen Stand (19:43 Uhr) weiterhin im Google Play Store verfügbar ist: der legale Krypto-Währungsrechner „CoinCalc“ des Entwicklers Sam Ruston. Wichtig ist, dass nicht die App selbst gefährlich ist. Über den Darknet-Dienst „Zombinder“ soll allerdings die bösartige Malware an die Anwendung angehängt worden sein.

Weltweit nimmt Xenomorph mithilfe von Android-Apps rund 400 Banken ins Visier. Auch 18 deutsche Exemplare sollen dazugehören. Darunter unter anderem die folgenden Geldinstitute:

ComDirect
Commerzbank
Consorsbank
Deutsche Bank
DKB
Volk- und Raiffeisenbank
ING-Diba
N26
Postbank
Santander Bank
Sparda-Bank
Sparkasse
Targobank

Eine vollständige Liste der etwa 400 Banken hat ThreatFabric im entsprechenden Blogbeitrag ebenfalls veröffentlicht.

Quellen: ThreatFabric

Seit dem 24. Februar 2022 herrscht Krieg in der Ukraine. Hier kannst du den Betroffenen helfen.