Eset warnt vor gefälschter Clubhouse-App für Android
Sie dient als Lockmittel für die Verteilung eines Banking-Trojaners. Der stiehlt Anmeldedaten auch von Diensten wie Facebook und Twitter. Hintermänner des Angriffs nutzen den Umstand aus, dass Clubhouse bisher keine offizielle Android-App anbietet.
Forscher des Sicherheitsanbieters Eset haben eine gefälschte Version der Audio-Chat-App Clubhouse für Android entdeckt. Betrüger nutzen den Umstand aus, dass Clubhouse bisher nur auf Einladung und nur für iOS verfügbar ist. Sie gaukeln Nutzern vor, sie könnten die Android-Version nun doch über den Google Play Store beziehen.
Allerdings ist die Clubhouse-App – weder eine offizielle Version noch die jetzt entdeckte schädliche Variante – tatsächlich im Play Store erhältlich. Auf einer Kopie der Clubhouse-Website, die von den Hackern erstellt wurde, findet sich jedoch ein “Get it on Google Play”-Button, der Nutzern vortäuschen soll, es handele sich um eine legitime App.
Ein Klick auf den Button führt Nutzer jedoch nicht zu Googles App-Marktplatz, sondern startet einen direkten Download einer APK-Datei. Wird das Installationspaket ausgeführt, schleust ein Opfer den Banking-Trojaner BlackRock in sein Smartphone oder Tablet ein. Der Schädling wurde erstmals im Mai 2020 beschrieben. Es soll auf dem Quellcode der Schadprogramme Xerxes und LokiBot basieren, was BlackRock umfassende Funktionen zum Diebstahl vertraulicher Daten bescheren soll.
Unter anderem ist der Trojaner in der Lage, SMS-Nachrichten abzufangen und zu manipulieren, Benachrichtigungen zu verstecken und das Ausführen von Antivirensoftware zu verhindern. Außerdem soll es den Hintermännern möglich sein, den Bildschirm eines infizierten Android-Geräts aus der Ferne zu sperren.
Zu den Zielen BlackRock gehören unter anderem die Apps von Facebook, Amazon, Netflix, Twitter sowie diverse Finanz-Apps. Insgesamt soll die Malware auf den Diebstahl von Daten von 458 Online-Diensten ausgerichtet sein. Versuche ein Opfer, auf einen dieser Dienste zuzugreifen, blende der Trojaner eine speziell gestaltetes Overlay ein, um die Anmeldedaten für den Dienst abzugreifen. Da der Trojaner auch Zugriff auf SMS habe, sei er auch in der Lage, eine SMS basierte Anmeldung in zwei Schritten auszuhebeln.
Der Google-Play-Button kann den Cyberkriminellen zwar helfen, ihren Trojaner zu verbreiten, zumindest auf neueren Android-Geräten müssen Sie noch eine wichtige Hürde nehmen: Ab Werk blockieren sie die Installation von Apps aus unbekannten Quellen. Ein aufmerksamer Nutzer kann also sofort erkennen, dass er die App nicht über den Play Store bezieht. Außerdem fordert der Trojaner den Zugriff auf die Bedienungshilfen ein. Diese Berechtigung ist jedoch für Assistenz-Apps vorgesehen – Kommunikationsanwendungen sollten ohne sie auskommen.
