Eine neue Schadsoftware-Kampagne betrifft laut Bitdefender mehrere Tausend Android-Smartphones in rund 150 Ländern. Die Malware ist bereits in der Geräte-Firmware versteckt und lässt sich von Nutzern nicht ohne Weiteres entfernen. Auch in Deutschland wurden betroffene Geräte entdeckt.
Wer ein besonders günstiges Smartphone oder ein vermeintliches Premium-Handy zum Schnäppchenpreis kauft, könnte sich unbemerkt Schadsoftware ins Haus holen. Vor der Kampagne "Midnight Mimosa" warnen Sicherheitsforscher von Bitdefender. Die Malware ist bereits ab Werk in der Firmware bestimmter Android-Geräte integriert. Nutzer müssen dafür weder eine schädliche App installieren noch auf einen verdächtigen Link klicken.
"Heute" auf Google als bevorzugte Quelle festlegen
Die manipulierte Software tarnt sich als gewöhnliche Systemkomponente und erhält weitreichende Rechte auf dem Gerät. Dadurch können die Angreifer Informationen über das Smartphone sammeln, weitere Schadprogramme installieren und das Gerät in ein sogenanntes Botnet einbinden. Außerdem können sie SMS lesen und versenden. Auch das Installieren oder Entfernen von Apps sowie das Vergeben von Berechtigungen ist laut Bitdefender möglich.
Fake-Flaggschiffe entpuppen sich als Billig-Handys
Besonders problematisch sind Angebote, die vermeintliche Spitzenmodelle zu auffällig niedrigen Preisen versprechen. Bei der Analyse der Geräte-IDs stellten die Experten fest, dass sich hinter solchen Angeboten teilweise günstige Smartphones mit MediaTek-Hardware verbargen.
Am häufigsten registrierten die Forscher betroffene Geräte in Mexiko. Dahinter folgen Frankreich, Italien, die USA, Deutschland, Brasilien und Spanien. Insgesamt beobachtete Bitdefender die Kampagne in den vergangenen zwei Jahren in rund 150 Ländern.
?
Die Schadsoftware lässt sich mit gewöhnlichen Methoden nicht einfach entfernen, weil sie direkt in der Firmware steckt und auf Systemebene arbeitet. Besonders auffällig: Während eine App unerlaubt weiteren Schadcode nachlädt, soll eine Komponente der manipulierten Firmware die Erkennung durch Google Play Protect vorübergehend deaktivieren und anschließend wieder einschalten.
Herkunft der manipulierten Geräte unklar
Auf die Kampagne stießen die Sicherheitsforscher durch eine ungewöhnliche Systemdatei mit dem Namen "com.android.system.lite". Sie sah wie eine reguläre Android-Komponente aus, verhielt sich aber auffällig. Zusätzlich entdeckten die Experten 13 Apps im Google Play Store, die denselben Code verwendeten und auf einen gemeinsamen Server verwiesen.
Bei einigen Geräten fanden sich Zertifikate eines Hardwareherstellers aus Shenzhen. Wo genau in der Lieferkette die Schadsoftware auf die Smartphones gelangte, konnten die Forscher allerdings nicht feststellen. Eine konkrete Zuordnung zu einem Hersteller oder Verkäufer sei daher nicht möglich.
Bitdefender empfiehlt, beim Kauf besonders günstiger Smartphones auf seriöse Händler und nachvollziehbare Herstellerangaben zu achten. Die Untersuchung zeigt auch ein grundsätzliches Problem: Ist Schadsoftware bereits Teil der Firmware, können Nutzer sie nicht wie eine gewöhnliche App einfach löschen.
