Android Warnung vor Super Free Music Player im Google Play

Sophos Experten analysierten Schädling

Wie it-daily-net unter Berufung auf die Erkenntnisse der SophosLabs Experten berichtete, verbuchte der Musikplayer Super Free Music Player Downloads von 5.000 bis 10.000 in kürzester Zeit. Der Upload bei Google Play erfolgte offenbar am 31. März 2017.  Mittels raffinierter Technik gelang es der Malware, Sicherheitstools von Google zu umgehen. Dabei kam ein Verfahren zur Anwendung, das aus dem Game-App BrainTest bekannt ist.

Die Malware ist in der Lage zusätzlichen Schad-Code von entfernten Webseiten zu downloaden und Geräteinformationen hochzuladen, inklusive aller installierten Apps, Wohnort, Sprache, Model, SDK Versionen usw.

Sie verfügt über folgende Techniken:

• Nutzung von Zeitbomben
• Domain und/ oder IP Mapping
• Verwendung von dynamischem Code und Spiegelung
• Einsatz von multiplen Ebenen

Die Schadsoftware Andr/Axent-DS

Die Schadsoftware Andr/Axent-DS

Zur Malware-Analyse erklärte Michael Veit, Technology Evangelist bei Sophos:

„Sophos hat die Schadsoftware als Andr/Axent-DS ausfindig gemacht und es ist wahrscheinlich, dass wir diese Malware in anderen Apps wieder sehen. Wir haben diese Malware analysiert und die Nutzer von Sophos Mobile Security sind geschützt“

„Wir haben die kostenlose Sophos Mobile Security für Android im Programm, die jedem Endanwender einen zuverlässigen Schutz bietet. Dieses Beispiel zeigt, dass auch vertrauenswürdige Anbieter wie Google Play Malware nicht ausschließen können und das war sicher nicht die letzte Attacke dieser Art.“

Die technische Funktion

Sophos erläutert die technische Funktionsweise folgendermaßen:

• Der sogenannte Dropper, die sich selbst ausführende Programmdatei, die man auf Google Play herunterlädt, heißt: com.superfreemusic.songapp.
• Zuerst startet der Dropper jede Stunde einen bestimmten Service, um den Schad-Code (Payload) zu entschlüsseln und zu starten.
• Dann nutzt der Dropper dynamischen Code und Spiegelungen, um die Payload-Methode zu laden.
• Um nicht von Google Play erkannt zu werden, prüft die Payload, ob das Gerät ein echtes Handy ist, oder vielleicht nur eine Entwicklungsumgebung. Dazu prüft sie verschiedene Eigenschaften wie zum Beispiel die Telefonnummer (15555215554, 15555215556…) und spezifische andere Merkmale.
• Nach acht Stunden Wartezeit wird die schadhafte Payload gestartet, sie kann weitere verschlüsselte Payloads von entfernteren Webseiten herunterladen. Anschließend übermittelt sie eine Liste der Geräteinformationen an eine hxxp-Seite.