Erinnern Sie sich an HummingBad? Wir haben bereits im vergangenen Jahr über diesen Malware gesprochen. Er hat mehr als 85 Millionen Geräte infiziert. Das Problem bei Malware ist, dass sie nur geringfügig verändert werden muss, um etwas anderes zu werden – und so entstand HummingWhale, dem es gelungen ist, sich in Google Play Store einzuschleichen. Die infizierten Apps wurden mindestens zwei Millionen Mal heruntergeladen, und trotz der Änderungen ist das Ziel dasselbe: Gewinne mit Werbung und gefälschten Apps zu erzielen.
Android-Nutzer sind ein attraktives Ziel, und immer wieder gelingt es bösartigen Entwicklern, ihren Code in scheinbar legitimen Apps zu verstecken. Es ist ein Wettrüsten für Google. Der Konzern aus Mountain View ist zwar gut darin, infizierte Apps zu erkennen, aber sobald die Gegenseite seine Methoden durchschaut, tut sie alles, um die Malware zu umgehen und einzuschleusen. Der neueste Bericht von Check Point beschreibt eine neue Kampagne namens HummingWhale. Falls Ihnen der Name bekannt vorkommt: Es handelt sich um eine Variante des berühmten HummingBad, nur viel raffinierter.
So funktioniert HummingWhale
Insgesamt wurden zwanzig Apps mit HummingWhale entdeckt, die zwischen zwei und zwölf Millionen Mal heruntergeladen wurden. Check Point hat diese Malware-Familie über Monate verfolgt und festgestellt, dass HummingWhale anstatt auf Root-Zugriff auf Virtualisierungstechniken setzt. Wenn der Nutzer versucht, die schädliche Werbung zu schließen, lädt die Malware unerwünschte Apps in die virtuelle Maschine herunter und erzeugt eine falsche Identifikation, um durch Missbrauch von Referrals zusätzliche Einnahmen zu erzielen. Darüber hinaus kann HummingWhale gefälschte Kommentare und Bewertungen veröffentlichen, um den Ruf der infizierten Apps im Store zu verbessern.
Der Bericht von Check Point enthält die vollständige Liste der Apps, aber im Wesentlichen beginnen die Namen mit „com“ und enden mit „camera“ (zum Beispiel „com.note.ocean.camera“). Wie zu erwarten, hat Google die betroffenen Apps inzwischen entfernt. Check Point bietet eine kompatible App zur Erkennung solcher Infektionen an, und auch Lookout, ein direkter Konkurrent, hat eine entsprechende Lösung.
