Diese Schadsoftware ahmt Ihre Banking-App nicht nach. Sie ersetzt sie.
Die meisten Android-Banking-Trojaner legen einen falschen Bildschirm über die echte App und hoffen, dass Sie dort Ihr Passwort eintippen. Hirudo, am 14. Oktober von der niederländischen Firma ThreatFabric beschrieben, spart sich diesen Umweg vollständig. Die Schadsoftware erkennt, welche Banking-App Sie bereits haben, zeigt etwas, das wie eine Update-Aufforderung aussieht, bringt Sie dazu, die echte zu deinstallieren, und setzt ihre eigene veränderte Kopie an dieselbe Stelle.
Damit ändert sich alles daran, womit sich die App noch wehren könnte. Der schädliche Code läuft jetzt im Prozess der Banking-App selbst und bringt eine Hooking-Engine mit, die das Signaturzertifikat fälscht, eine leere Liste zurückgibt, wenn die App nach aktiven Bedienungshilfen fragt, das Kennzeichen zum Blockieren von Bildschirmfotos entfernt und Googles Play-Integrity-Prüfung an einen Server der Angreifer weiterleitet. Die App prüft, ob sie manipuliert wurde, und bekommt eine beruhigende Antwort, weil sie die Manipulation selbst fragt.
Was danach folgt, ist die übliche trübe Liste: Zugangsdaten, Zahlungs-PINs, der Entsperrcode des Geräts, SMS, Live-Fernsteuerung des Bildschirms und Zugriff auf beide Kameras. Acht indonesische Banken sind bislang betroffen, Hinweise deuten auf China, Indien, Mexiko, Marokko und Thailand als nächste Ziele. Auf das Telefon kommt die Schadsoftware weiterhin nur, wenn jemand etwas installiert, und der Weg führt über eine Anzeige auf einer Meta-Plattform, eine Seite, die wie Google Play aussieht, und eine Shopping- oder Kurzserien-App, die in Wahrheit nur ein Lader ist.
Dieser letzte Teil lässt sich übertragen. Eine Anzeige, eine Seite, die einem offiziellen Store ähnelt, dann die Aufforderung, ein Update zu installieren, das der Store nie angeboten hat: Unter Windows ist das derselbe Ablauf, und er funktioniert immer noch. Die Sicherheitsprüfung von Tendvane weist auf Programme hin, die auf diesem Weg auf Ihren PC gekommen sind, auch wenn das Entfernen von Schadsoftware weiterhin Sache Ihres Virenschutzes bleibt.