Android: Trojaner nutzt bislang unbekannte Sicherheitslücken

Ein jüngst entdeckter Trojaner versteckt sich mittels Code-Verschleierung so erfolgreich im System, dass er nur schwer zu entdeckten ist. Außerdem nutzt er bislang unentdeckte Sicherheitslücken in Googles mobilem Betriebssystem. Weit verbreitet ist er indes noch nicht.

Artikel veröffentlicht am 10. Juni 2013, 15:42 Uhr, Jörg Thoma

Obad.a: ein ausgeklügelter Trojaner (Bild: Kaspersky Labs)

Der Trojaner Backdoor.AndroidOS.Obad.a sei die bislang ausgeklügeltste Schadsoftware für Android, schreiben die Experten beim Sicherheitsunternehmen Kaspersky. Weit verbreitet sei er bislang noch nicht, wer ihn auf seinem Smartphone installiert habe, werde ihn allerdings nicht so schnell wieder los. Der Trojaner nutze bislang unbekannte Schwachstellen in Android, um sich zu verstecken.

Obad.a verbreitet sich über manipulierte Textnachrichten, die es nach der Installation selbst weiter versendet, und nicht über Googles Play Store. Deshalb kann der Trojaner nur dann installiert werden, wenn auf dem Android-Smartphone die Option, Apps von Drittanbietern zu installieren, aktiviert ist. Zudem muss der Nutzer die Installation bestätigen, die sich als Update für eine Systemanwendung mit dem Namen "com.android.system.admin" tarnt.

Unsichtbar

Bei der Installation fordert der Trojaner administrative Rechte, die ihn auch davor schützen, deinstalliert zu werden. Danach nutzt Obad.a eine bislang unbekannte Schwachstelle, um mit erweiterten Rechten zu laufen und dennoch nicht als Systemanwendung in der Applikationsliste zu erscheinen. Der Trojaner hat auch keine Benutzerschnittstelle und läuft ausschließlich im Hintergrund. Außerdem überprüft Obad.a, ob das Gerät gerootet ist und versucht, gegebenenfalls entsprechende Rechte zu erlangen.

Obad.a tarnt sich, indem es seinen Code teils zweifach verschlüsselt. Wichtige Strings, etwa die zur Kommunikation mit dem C&C-Server, könnten nur dann entschlüsselt werden, wenn eine Internetverbindung besteht, was die Analyse der Malware erschwere, so Kaspersky. Die von den Malware-Herstellern zusätzlich genutzten Sicherheitslücken in der Verarbeitung von Manifest-Dateien in der Software Dex2jar machten die Analyse ebenfalls schwierig, erweiterten aber nicht die Funktionalität des Trojaners.

Ferngesteuert

Ausgerüstet mit den bestehenden Rechten blockiere der Trojaner den Bildschirm des Geräts für etwa zehn Sekunden, schreibt Roman Unucheck von Kaspersky. Die Unterbrechung nutze das Gerät aus, um sich selbst über WLAN oder Bluetooth auf weitere benachbarte Geräte zu übertragen. An den C&C-Server überträgt der Trojaner die MAC-Adresse des Bluetooth-Moduls, den Namen des Mobilfunknetzanbieters, die Telefonnummer, die IMEI-Nummer sowie den Datenverbrauch. Über den C&C-Server können die Angreifer SMS verschicken, etwa an Premium-Nummern, und eine Antwort unterdrücken. Außerdem können Dateien übertragen und installiert sowie eine Liste der installierten Anwendungen zurückgeschickt werden. Angreifer haben auch Zugriff auf eine Remote-Shell, mit der sie Befehle auf dem Smartphone ausführen können. Kontaktdaten werden ebenfalls übermittelt.

Es handele sich bei Obad.a um den bislang komplexesten und ausgeklügeltsten Trojaner, den sie bislang entdeckt hätten, resümieren die Sicherheitsexperten bei Kaspersky. Die Funktionalität von Obad.a an reiche an die von Trojanern unter Windows noch nicht heran, sie betrachteten die wachsende Zahl der Trojaner sowie deren immer bessere Funktionalität aber mit Sorge.