Zahlreiche Android Apps infiziert
Wie die Experten von Palo Alto Networks ermittelten, sind 22 Android Apps mit Schadcode infiziert. Wie es heißt befindet sich der Trojaner aber aktuell noch in der Entwicklungsphase, in der der Schadcode regelmäßig aktualisiert wird.
Xbot versucht, mittels Phishing an die Bankdaten und Kreditkarteninformationen der adressierten Opfer zu gelangen. Hierfür leitet die Malware sein Opfer auf eine Pishing-Seite um, die sowohl die Zahlungsschnittstelle von Google Play als auch die Login-Seiten von sieben verschiedenen Banken imitiert. Außerdem kann Xbot mTAN-SMS-Nachrichten für abfangen.
Trojaner Xbot funktioniert auch als Ransomware
Das Malware-Analyse-Team von Palo Alto Networks, Unit 42, hat herausgefunden, dass der Trojaner aber auch dazu dienen kann, Android-Geräte aus der Ferne zu sperren. Somit agiert Xbot bei Bedarf auch als Ransomware, die Benutzerdateien im externen Speicher, also beispielsweise auf der Micro-SD-Karte, verschlüsseln kann. Die erpresserischen Entwickler fordern dann 100 US-Dollar Lösegeld, die per PayPal zu entrichten sind.
Unit 42 ist der Ansicht, dass Xbot ein Nachfolger des Android-Trojaners Aulrin ist, der erstmals im Jahr 2014 entdeckt wurde. So weist Aulrin sehr ähnliche Codestrukturen und Verhaltensweisen auf und einige Ressourcendateien in Aulrin sind auch in Samples von Xbot enthalten. Der Hauptunterschied ist, dass Xbot zur Implementierung seiner Verhaltensweisen JavaScript durch Mozillas Rhino-Framework nutzt, während Aulrin auf Lua und das .NET Framework zurückgreift. Die flexible Architektur von Xbot erlaubt offenbar einfache Erweiterungen, z.B. um künftig weitere Android-Apps anzugreifen.
Autoren sollen aus Russland stammen
Mehrere Anzeichen deuten auf die Herkunft des Schadcodes hin: Eine frühere, gefälschte Benachrichtigung fürs Google-Play-Phishing, Kommentare im JavaScript-Code und die identifizierten Ziel-Domains deuten allesamt auf russische Entwickler hin. Während neuere Versionen Englisch für Benachrichtigungen verwenden, wurde die Sprache an anderer Stelle nicht geändert.
