Via Google und Samsung: Hacker verbreiten Spyware als Telegram- und Signal-Apps
Eine chinesische Hackergruppe namens Gref hat über Google Play und den Samsung Galaxy Store trojanisierte Versionen der weitverbreiteten Messenger-Apps Signal und Telegram in Umlauf gebracht, um darüber eine Badbazaar genannte Spyware zu verbreiten. Einem Bericht von Bleeping Computer(öffnet im neuen Fenster) zufolge ist es den Angreifern darüber etwa möglich, Standortdaten, Anrufprotokolle, Kontaktlisten, Bild- und Tonaufnahmen sowie beliebige andere Daten von einem Zielgerät abzugreifen.
Wie Sicherheitsforscher von Eset(öffnet im neuen Fenster) anhand ihrer Telemetriedaten feststellen konnten, nahmen die Hacker mit den manipulierten Apps Ziele aus verschiedensten Ländern der Welt ins Visier. Unter anderem seien Fälle aus Deutschland, Spanien, Polen, Portugal, Ungarn, Dänemark, den Niederlanden, den USA, Brasilien und Australien bekannt, heißt es.
Trojanisierte Telegram- und Signal-Apps greifen sensible Daten ab
Die trojanisierte Telegram-App wurde demnach unter dem Namen Flygram verbreitet. Darüber soll es den Angreifern etwa möglich sein, sensible Daten wie Kontaktlisten, Anrufprotokolle und die Liste der Google-Konten auszulesen. Darüber hinaus bietet die Anwendung Nutzern eine gefährliche Back-up-Funktion an, die einige Telegram-Einstellungsdaten an einen von den Angreifern kontrollierten Server übermittelt, wenngleich dort keine Chatnachrichten enthalten sind. Mindestens 13.953 Anwender sollen von dieser Funktion Gebrauch gemacht haben.
Bei der trojanisierten Signal-App handle es sich hingegen um den "Signal Plus Messenger" , der durch den Einsatz der Badbazaar-Spyware ähnliche Daten sammle wie Flygram, heißt es in dem Bericht. Zusätzlich sei es den Hackern darüber aber auch möglich, die Signal-Kommunikation auszuspionieren. Dafür werde die Signal-Pin extrahiert und die Funktion zur Geräteverknüpfung missbraucht, mit der Anwender die mobile Messenger-App normalerweise mit der Signal-Desktop-App verbinden, um ihre Chats an einem Computer fortzusetzen.
Auch in den offiziellen App-Stores taucht immer wieder Schadsoftware auf
Flygram soll erstmals im Juli 2020 auf Google Play hochgeladen und am 6. Januar 2021 nach rund 5.000 Installationen von Google wieder entfernt worden sein. Der Signal Plus Messenger hingegen sei im Juli 2022 sowohl auf Google Play als auch im Samsung Galaxy Store erschienen. Google habe die trojanisierte Signal-App am 23. Mai 2023 nach einem Hinweis der Eset-Forscher wieder entfernt, im Galaxy Store sei diese aber zum Veröffentlichungszeitpunkt des Eset-Berichts noch immer verfügbar gewesen.
Anwendern wird empfohlen, stets die Originalversionen von Signal und Telegram zu verwenden. Alternative Anwendungen werben zwar oftmals mit nützlichen Zusatzfunktionen, jedoch bergen sie immer die Gefahr, eine Schadsoftware mitzuliefern - selbst wenn sie über die offiziellen App-Stores von Google oder Samsung erhältlich sind.