Forscher des Unternehmens für Sicherheitssoftware ESET haben eine trojanisierte Telegram-Version für Android-User entdeckt. Mit der modifizierten Version der Telegram-App können sich die Cyberkriminellen einen Zugriff auf kritische Daten der Opfer verschaffen. Aktuell ist die Malware zwar nicht mehr aktiv, die bösartige App kann nach Angaben der Forscher aber jederzeit aktualisiert werden.
Was steckt hinter der schadhaften Telegram-Version?
Die manipulierte App stand bereits seit November 2021 auf einer gefälschten Webseite des kostenlosen Webcam-Chats Shagle zum Download bereit. Erst im Juli 2022 wurde die Webseitenkopie von Shagle entdeckt. Die meisten potenziellen Opfer sind vermutlich über Phishing-E-Mails und SMS-Nachrichten auf die gefälschte Webseite gelangt. Dort wurde die trojanische Version, die auf der Telegram-App für Android basiert, dann als vermeintliche Shagle-Android-App angegeben. Diese existiert jedoch gar nicht, da es sich bei Shagle um einen rein webbasierten Dienst handelt. Im Google Play Store stand die modifizierte App nie zum Download bereit. Die ESET-Forscher sind davon überzeugt, dass die Cybergang StrongPity hinter der Bedrohung steckt.
Weshalb vermuten die Forscher die StrongPity-Gruppe hinter der Kampagne?
Die Funktionalität sowie das Zertifikat und der Klassenname der Datei sind mit denen einer vorausgegangenen Kampagne der Cybergang identisch. Die Experten gehen davon aus, dass die heimtückisch modifizierte Telegram-Version für gezielte Angriffe eingesetzt werden soll. Mit dem Zugriff auf kritische Daten ist unter anderem das Aufzeichnen von Telefongesprächen sowie das Sammeln von Anrufprotokollen, Kontaktlisten und SMS-Nachrichten möglich. Zudem gewähren ahnungslose Android-User, die der trojanisierten App einen Zugriff auf Dienste und Benachrichtigungen gewähren, auch einen Zugriff auf eingehende Benachrichtigungen von 17 weiteren Apps:
- Gmail
- Hangouts
- Hike News & Content
- Imo-International Calls & Chat
- Kik
- Line: Calls & Messages
- Messenger
- Messenger Lite
- Snapchat
- Skype
- Tango
- Telegram
- Tinder
- Viber
Für die bösartige App-Version wurde derselbe Paketname wie für die legitime Telegram-App verwendet. Dadurch kann die manipulierte Version nicht auf Android-Geräten von Nutzern installiert werden, die bereits die offizielle Telegram-App installiert haben. Denn Paketnamen müssen einzigartig sein, da hierüber Android-Apps eindeutig zu identifizieren sind.
„Das kann zweierlei bedeuten: Entweder kommunizieren die Angreifer zunächst mit potenziellen Opfern und drängen sie, Telegram von ihren Geräten zu deinstallieren, falls es bereits installiert ist. Oder die Kampagne konzentriert sich auf Länder, in denen Telegram nur selten zur Kommunikation eingesetzt wird“, so der ESET-Forscher Lukás Stefanko.
Wie können sich Android-Nutzer schützen?
Android-Nutzer sollten sehr vorsichtig sein, wenn sie Apps außerhalb des Google Play Stores herunterladen wollen. Am besten sollten ausschließlich Anwendungen direkt aus dem offiziellen App-Store installiert werden. Wie eine schädliche Kampagne im Google Play Store aus dem letzten Jahr zeigt, bietet jedoch auch dies keine hundertprozentige Sicherheit. Nutzer sollten sich daher vor dem Herunterladen einer App auch die Bewertungen anderer User genau anschauen.
Hinterlasse jetzt einen Kommentar