Die kostenlose TV-App, die zusieht, wie Sie Ihre Bank-PIN tippen

TVTap ist eine kostenlose IPTV-App, die nie bei Google Play zu finden war. Also suchen die Leute anderswo danach, und genau das macht sie zu einem guten Köder.

Group-IB hat diese Woche seine Analyse von RemControl veröffentlicht, einem Android-Banking-Trojaner, der als Dienst vermietet und über gefälschte Google-Play-Seiten für diese App verbreitet wird. Die Anzeigen tragen Meta-Pixel-Tracking-IDs, was auf eingekauften Traffic über Metas Werbesystem hindeutet. Die Schadsoftware bringt mehr als 30 Phishing-Overlays mit, gerichtet auf Banken in Italien, Frankreich, Spanien, Polen, Portugal, Kanada und den Golfstaaten. Die Domain des Steuerservers wurde am 12. Mai registriert, die ersten Proben erreichten VirusTotal am 19. Juli.

Was nach der Installation passiert, ist der üble Teil. Die App verlangt Androids Bedienungshilfen und legt damit einen falschen Anmeldebildschirm über Ihre echte Banking-App, um PIN, Kartenablaufdatum und Einmalcodes beim Tippen abzugreifen. Sie überträgt Ihren Bildschirm live an den Betreiber, protokolliert Tastatureingaben in allen Apps und zeichnet die Koordinaten Ihres Entsperrmusters auf Geräten von Samsung, Xiaomi, Huawei, OPPO und OnePlus auf. Ein lokaler VPN-Dienst hindert Google Play Protect daran, sich zu melden. Und wenn Sie die Schaltfläche zum Deinstallieren suchen, blockiert sie den Bildschirm, in mehr als dreißig Sprachen.

Group-IB führt den Betreiber als UNKK, nach einer Partnerkennung in jeder Probe, und vermutet eine Verbindung zur Gruppe hinter dem Medusa-Trojaner. Die Lehre darunter ist älter als jedes Android-Telefon: Eine Fernseh-App hat keinen Grund, Bedienungshilfen zu verlangen, und eine Play-Store-Seite, die Sie über eine Anzeige erreicht haben, ist nicht der Play Store. Der Netzwerkscan von Tendvane zeigt Ihnen immerhin jedes Gerät in Ihrem heimischen WLAN, Telefone eingeschlossen.