Frankfurt, 16. Januar 2018

Virenanalysten von Doctor Web haben im App-Katalog Google Play Android-Spiele mit dem eingebetteten Trojaner Android.RemoteCode.127.origin aufgespürt. Er lädt zusätzliche Module herunter und installiert diese. Die böswilligen Module simulieren Aktionen von Anwendern, rufen heimlich Webseiten auf und klicken auf vorgegebene Elemente.

Android.RemoteCode.127.origin ist eine Komponente des Software Development Kits (SDK) unter dem Namen 呀呀云 («Ja Ja Jun»), das Entwickler zur Erweiterung der Funktionalität ihrer Apps verwenden. Mit Hilfe dieses SDKs können Spieler in Kontakt miteinander bleiben. Das SDK hat jedoch auch andere Funktionen, und zwar lädt es heimlich böswillige Module von einem Remote-Server herunter und installiert diese.

Beim Starten von Apps, in denen dieses SDK eingebettet ist, sendet Android.RemoteCode.127.origin eine Anfrage an den Verwaltungsserver. Als Rückmeldung kann der Schädling einen Befehl zum Herunterladen von weiteren Modulen sowie Ausführen von vordefinierten Aktionen erhalten. Eines der Module, die die Virenanalysten von Doctor Web abgefangen haben, trägt den Namen Android.RemoteCode.126.origin. Nach dem Start baut er eine Verbindung zum Verwaltungsserver auf und erhält von ihm einen Link zum Herunterladen eines vermeintlich harmlosen Bildes.

Diese Grafik ist aber mit einem weiteren Trojaner-Modul ausgerüstet, der eine neue Version von Android.RemoteCode.126.origin darstellt. Eine solche Verdeckungsmethode wurde von den Virenanalysten von Doctor Web mehrmals registriert. So wurde sie z.B. 2016 für den Trojaner Android.Xiny.19.origin eingesetzt.

Nach der Entschlüsselung startet der neue Schädling seine Aktivitäten zusammen mit der älteren Version, die von Dr.Web als Android.RemoteCode.125.origin erkannt wird. Anschließend lädt er eine Grafik herunter, die eine weitere schädliche Komponente enthält. Diese wird von Dr.Web als Android.Click.221.origin erkannt.

Ihre Hauptaufgabe ist es, Webseiten heimlich aufzurufen und auf Links und Banner zu klicken. Dafür lädt Android.Click.221.origin ein Skript von der vorgegebenen Adresse herunter. Dieses wiederum kann auf der Webseite beliebige Aktionen vornehmen, u.a. Klicks auf vorgegebene Elemente simulieren. Wenn der Trojaner auf Links, Banner oder Anzeigen geklickt hat, schreiben die Kriminellen schwarze Zahlen. Die Funktionalität von Android.RemoteCode.127.origin geht aber darüber hinaus – die Kriminellen können beliebige Trojaner-Module entwickeln, die weitere böswillige Aktionen vornehmen. So können sie Phishing-Fenster zum Klauen von Login-Daten oder Werbung anzeigen sowie weitere böswillige Apps heimlich herunterladen und installieren.

Die Virenanalysten von Doctor Web haben auf Google Play 27 Spiele entdeckt, in denen das schadhafte SDK verwendet wurde. Insgesamt haben 4.500.000 Anwender diese böswilligen Spiele heruntergeladen. Eine Liste von Apps mit dem eingebetteten Android.RemoteCode.127.origin sieht wie folgt aus:

Die Virenanalysten von Doctor Web haben Google über die trojanische Komponente in den oben erwähnten Apps informiert. Zum Zeitpunkt der Veröffentlichung dieser Meldung standen sie aber immer noch zum Herunterladen bereit. Inhaber von Android-Smartphones und -Tablets, die Spiele mit dem Trojaner Android.RemoteCode.127.origin installiert haben, sollten diese so schnell wie möglich löschen. Dr.Web Produkte für Android erkennen Apps, die Android.RemoteCode.127.origin enthalten. Für Dr.Web Anwender stellt der Trojaner daher keine Bedrohung dar.

Mehr zum Trojaner