Frankfurt, 19. Oktober 2018

Download-Trojaner werden durch Cyber-Kriminelle zur Verbreitung von anderen Trojanern verwendet. Das Analystenteam von Doctor Web entdeckte einen von solchen Trojanern auf Google Play. Dieser versteckte sich in einem VPN-Client.

Der Trojaner, dem der Name Android.DownLoader.818.origin zugewiesen wurde, wurde in den VPN-Client Turbo VPN ­ Unlimited Free VPN & Proxy eingebettet. Die App wurde von über 11.000 Android Nutzern heruntergeladen. Der Name der böswilligen App ist fast wortgleich mit dem beliebten VPN-Client Turbo VPN Unlimited Free VPN & Fast Security VPN des Unternehmens Innovative Connecting, welches keinen Bezug zur Fälschung hat. Die Übeltäter gaben Android.DownLoader.818.origin für bekannte Software aus und versuchten somit, potenzielle Opfer zu täuschen.

Beim Starten versuchte Android.DownLoader.818.origin sich Lese- und Schreibrechte zu sichern. Danach forderte er Administratorprivilegien an.

Android.DownLoader.818.origin ermöglichte die Arbeit mit VPN-Netzwerken. Dessen Entwickler haben auch den offenen Quellcode aus dem Projekt OpenVPN for Android verwendet. Benutzer, die diese App installiert haben, konnten sie aber nicht verwenden. Nachdem der Schädling Systemprivilegien bekam, löschte er seine Verbindung aus der App-Liste des Hauptbildschirms. Der VPN-Client konnte ab diesem Zeitpunkt nicht mehr selbständig gestartet werden.

Unsichtbar für den Nutzer lud der Schädling eine apk-Datei und speicherte diese auf der SD-Karte. Anschließend versuchte er den Nutzer zu überzeugen, die App zu installieren. Ein Beispiel einer solchen Meldung, mit der Android.DownLoader.818.origin den Nutzer dazu zwang, die App zu installieren, ist wie folgt:

Zum Zeitpunkt der Analyse stellte eine ausführbare Datei den Trojaner Android.HiddenAds.710 dar, der zum Anzeigen von Werbung gedacht ist. Je nach Einstellungen des Servers und Zielen des Übeltäters kann Android.DownLoader.818.origin eine andere böswillige App herunterladen und installieren.

Der IT-Sicherheitsspezialist Doctor Web benachrichtigte Google über den Malwarefund auf Google Play. Anschließend wurde der Schädling aus dem Katalog entfernt.

Alle oben erwähnten Trojaner stellen keine Gefahr für Dr.Web Nutzer dar. Dr.Web für Android spürt diese erfolgreich auf und löscht sie von mobilen Endgeräten.

• Mehr zu Android.DownLoader.818.origin
• Mehr zu Android.HiddenAds.710