Vier Generationen der Zoopark-Familie gefunden
Die Experten von Kaspersky Lab haben Zugriff auf das Sample einer offenbar noch unbekannten Android-Malware erhalten, die zunächst ein technisch sehr einfach gestricktes Cyberspionage-Tool zu sein schien. Bei weiteren Untersuchungen wurde jedoch eine aktuelle und hochentwickelte Version entdeckt, insgesamt wurden vier Generation der ZooPark-Familie gefunden.
Verbreitung über Nachrichten-und Politik-Webseiten
Einige der schädlichen Apps wurden über populäre Nachrichten- und politische Webseiten in der Region verbreitet. Sie tarnen sich unter anderem als legitime Apps mit Namen wie „TelegramGroups“ oder „Alnaharegypt news“. Nach der erfolgreichen Infektion können die Angreifer unter anderem auf folgende Informationen zugreifen:
- Kontakte,
- Zugangsdaten,
- Anrufprotokolle und Audiomitschnitte von Gesprächen,
- auf der SD-Karte gespeicherte Bilddaten,
- GPS-Daten,
- SMS-Nachrichten,
- Details zu installierten Apps und Browserdaten,
- Keylogs und Clipboard-Daten.
Malware mit zahlreichen Funktionen
Darüber hinaus kann die Malware über Backdoor-Funktionalitäten heimlich SMS senden und Anrufe durchführen sowie Shell-Commands ausführen. Eine weitere Funktion betrifft Messenger wie Telegram, WhatsApp, IMO, aber auch den Chrome-Browser und andere Anwendungen, bei der Informationen aus den App-internen Datenbanken abgegriffen werden. Im Fall des Browsers könnten damit die gespeicherten Zugangsdaten zu anderen Websites gestohlen werden.
Alexey Firsh, Sicherheitsexperte bei Kaspersky Lab, erklärt dazu:
„Immer mehr Menschen nutzen ihre mobilen Geräte als bevorzugtes oder sogar einziges Kommunikationsmittel“
„Das haben sicher auch staatlich-unterstützte Akteure entdeckt, die ihre Toolsets so gestalten, dass sich damit mobile Nutzer effizient tracken lassen. Die Advanced Persistent Threat (APT) ZooPark, die aktiv Ziele im Nahen Osten ausspioniert, ist hierfür ein Beispiel – aber sicher nicht das einzige.“
Fazit der Untersuchung
Die Untersuchungsergebnisse zeigen, dass die Angreifer private Nutzer in Ägypten, Jordanien, Marokko, dem Libanon und Iran im Fokus haben. Die Themen der Informationsseiten, die Opfer zur Installation der Malware verleiten sollen, lassen zudem vermuten, dass Mitglieder des Hilfswerks der Vereinten Nationen für Palästina-Flüchtlinge im Nahen Osten (UNRWA) zu den ZooPark-Opfern gehören.
