Charger: Android-Ransomware tarnt sich als Batteriespar-App

Eine Batteriespar-App wünschen sich wohl viele Android-Nutzer. Offenbar Grund genug für Kriminelle, eine Ransomware darin zu verstecken. Im Vergleich mit bisherigen Trojanern ist die Lösegeldforderung happig.

Artikel veröffentlicht am 25. Januar 2017, 8:30 Uhr, Hauke Gierow

Die Charger-Ransomware erpresst Nutzer mit persönlichen Informationen. (Bild: Check Point)

Eine Android-Malware mit dem Namen Charger verbreitet sich über Googles offiziellen Playstore. Nutzer installieren die Malware nach Erkenntnissen der Sicherheitsfirma Check Point selbst, sie versteckt sich unter anderem in der App "EnergyRescue". Den Erkenntnissen der Forscher zufolge kopiert die App auf dem Smartphone gespeicherte SMS und Kontaktinformationen, außerdem wird das Display des Nutzers gesperrt und mit einem Hinweis versehen.

Darin werden die Nutzer erpresst, es wird gedroht, private Informationen "alle 30 Minuten auf dem Schwarzmarkt zu verkaufen". In der Botschaft heißt es außerdem, dass die Schadsoftware "alle ihre persönlichen Daten" sammelt und herunterlädt, dazu gehörten Informationen über soziale Netzwerke, über Bankkonten und Kreditkarten. Dass die App tatsächlich Zugriff auf alle diese Informationen hat, ist eher unwahrscheinlich.

0,2 Bitcoin Lösegeld

Um das Gerät zu entsperren, wird ein Lösegeld von 0,2 Bitcoin gefordert, etwa 180 Euro. Bisherige Erpressungstrojaner für Mobilgeräte fordern bislang zumeist deutlich geringere Beträge. Neu ist zudem, dass es sich überhaupt um einen funktionalen Erpressungstrojaner für Smartphones handelt. Dominantes Geschäftsmodell von mobiler Malware war bislang der Verkauf gefälschter Werbeanzeigen, sogenannter Adware, oder App-Installationen.

Außerdem interessant: Die Malware kommt offenbar ohne Dropper aus, anders als die meisten Schädlinge für Android. Die App selbst beinhaltet dabei nur rudimentäre Informationen, um einen Command-and-Control-Server zu kontaktieren, von dem dann der eigentliche Schadcode geladen wird.

Charger hingegen soll einen Großteil der benötigten Werkzeuge bereits dabeihaben. Das erleichtert unter Umständen die Infektion, kann aber im Appstore auch einfacher entdeckt werden. Daher verwenden die Kriminellen mehrere Obfuskationstechniken, um die Entdeckung zu erschweren.