Eine der wichtigsten Empfehlungen zum Schutz unserer Mobilgeräte ist es, sämtliche Software über die offiziellen Stores herunterzuladen. Doch es gibt Fälle, in denen ein schädliches Element sehr gut getarnte Apps einschleust. Genau das ist mit SonicSpy passiert, einer Malware-Variante, die im Februar dieses Jahres ihre Aktivitäten aufnahm und den Nutzern „Instant-Messenger“ liefert, die heimlich Audio aufnehmen, Fotos schießen, Anrufe tätigen und Kontakte extrahieren können.
Wenn ein mobiles Gerät keinen Root-Zugriff hat und seine Apps ausschließlich aus offiziellen Stores bezieht, sind die Chancen auf eine Infektion eigentlich gering. Doch Malware-Entwickler sitzen nicht untätig herum und finden immer Wege, ihre Kreationen durch die Ritzen der Plattformen zu schleusen. Android hat die Auswirkungen dieses „Wettrüstens“ schon mehrfach zu spüren bekommen, und trotz der guten Arbeit von Google ist es eine titanische Aufgabe, das Verhalten der Tausenden von Apps zu analysieren, die täglich in den Play Store gelangen. Hier kommen unabhängige Forscher ins Spiel, die Dinge wie SonicSpy entdecken, so wie das Team von Lookout.
SonicSpy begann seine Verbreitung im Februar dieses Jahres, und die verfügbaren Daten deuten darauf hin, dass es von einem in Irak stationierten Akteur entwickelt wurde, obwohl nicht klar ist, ob es sich um eine staatliche oder private Quelle handelt. Mehr als tausend Apps zeigen eine Verbindung zu SonicSpy, aber die wichtigsten tarnen sich als Instant-Messenger. „Soniac“ präsentiert sich als ein Telegrams-Klon und erfüllt an der Oberfläche seine grundlegenden Funktionen ohne Auffälligkeiten. Lookout erklärt, dass die App tatsächlich in der Lage ist, Audio aufzunehmen, Anrufe zu tätigen, Fotos zu machen, Textnachrichten an vom Angreifer festgelegte Nummern zu senden und Details wie Kontaktlisten, Verlauf und WLAN-Konfigurationen zu extrahieren.
Im Wesentlichen löschen die mit SonicSpy infizierten Apps ihre Spuren, indem sie das Symbol aus dem Launcher entfernen, und stellen eine Verbindung zu einem Remote-Server über den Port 2222 her. SonicSpy teilt mehrere technische Elemente mit SpyNote, einem weiteren Malware, dessen erste Berichte auf Juli 2016 zurückgehen. Neben Soniac wurden auch „Hulk Messenger“ und „Troy Chat“ im Play Store installiert, aber nachdem ihre Verbindung zu SonicSpy entdeckt wurde, wurden sie schnell entfernt. Kurz gesagt: Es reicht nicht mehr aus, Downloads auf den Google-Store zu beschränken. Bilder, Texte, Beschreibungen und Kommentare müssen genau geprüft werden, bevor man eine App herunterlädt.
