Neuer Android-Trojaner stiehlt Ihr Geld mit der offiziellen PayPal-App

Es wurden einige schlechte Trojaner auf Android gefunden, aber dies ist möglicherweise einer der schlimmsten. Diese neue Bedrohung automatisiert eine PayPal-Transaktion für 1000 US-Dollar und sendet sie über die offizielle PayPal-App – auch auf Konten mit aktiviertem 2FA.

Der PayPal-Hijack

Dies geschieht mit verschiedenen Methoden und unter Nutzung der Barrierefreiheitsdienste von Android. Die bösartige App tarnt sich derzeit als Android-Optimierungstool und hat ihren Weg über App-Stores von Drittanbietern auf die Telefone der Benutzer gefunden. Verwenden Sie daher zunächst keine App-Stores von Drittanbietern.

Bei der Installation erstellt «Optimization Android» (im Ernst, warum sollten Sie überhaupt etwas mit einem solchen Namen installieren?) Außerdem einen Eingabehilfedienst mit dem Namen «Statistiken aktivieren». Anschließend wird der Zugriff auf diese Funktion angefordert, was harmlos genug erscheint. Dadurch kann die App Benutzeraktionen überwachen und Fensterinhalte abrufen. Wenn Sie der Meinung sind, dass alles darauf abzielt, Ihr Telefon schneller zu machen, ist dies sinnvoll.

Aber hier wird es schlimmer, denn jetzt kann der Trojaner Berührungen effektiv emulieren. Es wird eine Benachrichtigung generiert, die aussieht, als stamme sie von PayPal und fordert den Benutzer auf, sich anzumelden.

Wenn Sie auf diese Benachrichtigung tippen, wird die offizielle PayPal-App geöffnet (falls installiert). Dies ist also kein Phishing-Versuch. Die offizielle App wird geöffnet und fordert den Benutzer auf, sich anzumelden. Da dies ein legitimer Anmeldeversuch innerhalb der offiziellen App ist, unternimmt 2FA nichts, um das Konto zu sichern. Sie melden sich einfach wie gewohnt an und geben Ihren 2FA-Code ein, wenn er eingeht.

Sobald Sie angemeldet sind, übernimmt die bösartige App und überträgt 1000 US-Dollar von Ihrem PayPal-Konto an den Angreifer. Dieser automatisierte Vorgang dauert weniger als fünf Sekunden. Wir leben Sicherheit hat ein Video des gesamten Prozesses gemacht und es ist ziemlich verrückt, wie schnell das alles passiert:

Wenn Sie erkennen, was los ist, ist es zu spät, um es zu stoppen. Das einzige, was den Prozess nach dem Start stoppt, ist, wenn das PayPal-Guthaben zu niedrig ist und es keine anderen Finanzierungsmethoden gibt. Es wird also standardmäßig abgebrochen. Ansonsten bist du ein Grand.

Aber es endet nicht dort.

Der Überlagerungsangriff

Dieser spezielle Trojaner greift nicht nur das PayPal-Konto des Benutzers an, sondern verwendet auch die Bildschirmüberlagerungsfunktion von Android, um unzulässige Anmeldebildschirme über legitimen Apps zu platzieren.

Die Malware lädt HTML-Overlay-Bildschirme für Google Play, WhatsApp, Skype und Viber herunter und verwendet sie dann zum Phishing von Kreditkartendaten. Es kann auch eine Überlagerung für eine Google Mail-Anmeldung erstellen, wobei die Anmeldeinformationen des Benutzers gestohlen werden.

Während der Overlay-Angriff derzeit auf die oben genannten Apps beschränkt ist, kann die Liste jederzeit aktualisiert werden. Dies bedeutet, dass diese Art von Angriff jederzeit erweitert werden kann, um grundsätzlich jede Art von Informationen zu stehlen, die der Angreifer wünscht. Wir leben Sicherheit hebt weiter hervor, dass der Angreifer andere Optionen für die Verwendung des Overlays untersuchen könnte:

Laut unserer Analyse haben die Autoren dieses Trojaners nach weiteren Verwendungsmöglichkeiten für diesen Mechanismus zur Überlagerung von Bildschirmen gesucht. Der Code der Malware enthält Zeichenfolgen, die besagen, dass das Telefon des Opfers für die Anzeige von Kinderpornografie gesperrt wurde und durch Senden einer E-Mail an eine bestimmte Adresse entsperrt werden kann. Solche Behauptungen erinnern an frühe Angriffe auf mobile Ransomware, bei denen die Opfer Angst hatten zu glauben, dass ihre Geräte aufgrund angeblicher polizeilicher Sanktionen gesperrt waren. Es ist unklar, ob die Angreifer hinter diesem Trojaner auch planen, Geld von Opfern zu erpressen, oder ob diese Funktionalität lediglich als Deckung für andere böswillige Aktionen im Hintergrund verwendet wird.

So bleiben Sie sicher

Während wir einen detaillierten Artikel zur Vermeidung von Android-Malware haben, finden Sie hier eine TL; DR, um die Sicherheit zu gewährleisten:

1. Installieren Sie nur Apps von Google Play. Vermeiden Sie App-Stores von Drittanbietern, insbesondere solche, die kostenpflichtige Apps kostenlos versprechen.
2. Seien Sie beim Seitenladen vorsichtig.Wenn Sie eine App von der Seite laden, stellen Sie zunächst sicher, dass sie legitim ist.
3. Installieren Sie keine Raubkopien.Ernsthaft. Es ist nicht nur beschissen, sondern öffnet Sie möglicherweise für alle Arten von böswilligem Mist.
4. Recherchiere. Lesen Sie auch bei Verwendung von Google Play Bewertungen und achten Sie darauf. Der Play Store ist zwar sicherer als die meisten Drittanbieter-Stores, aber nicht völlig unempfindlich gegen Malware.