Check Point entdeckt Adware-Kampagne SimBad im Google Play Store – 150 Millionen Nutzer betroffen

Sicherheitsforscher von Check Point vermelden den Fund einer neue Adware-Kampagne im Google Play Store, die sich auf 206 Apps verteilt hatte. Sie nannten des Schadprogramm SimBad (da ein grosser Teil der infizierten Anwendungen Simulator-Spiele sind), es betrifft um die 150 Millionen Nutzer. Google wurde bereits informiert und hat die betroffenen Apps aus dem Store entfernt – allerdings sind die Applikationen noch auf den Geräten der Nutzer installiert, sodass die Cyber-Kriminellen weiter Umsätze erzielen.

150 Millionen Nutzer betroffen

Laut Check Point befindet sich die Malware innerhalb des ‚RXDrioder‘-Software Development Kits (SDK), das von ‚addroider[.]com‘ als werbebezogenes SDK bereitgestellt wird. Die Sicherheitsforscher glauben, dass die Entwickler getäuscht und so dazu gebracht wurden, dieses bösartige SDK zu verwenden,  dass sie den tatsächlichen Inhalt nicht kannten. Dieser Betrug führte dazu, dass die Kampagne nicht auf ein bestimmtes Land zielte oder nur von einem Entwickler alleine genutzt wurde.

Sobald eine App mit SimBad an Bord installiert wurde, registriert sich die Malware unter „Boot Complete“ und „User Present“, was ihr ermöglicht, nach einem Neustart aktiv zu werden. Der erste Kontakt wird zum Command and Control (C&C)-Server aufgebaut und daraufhin beispielsweise das Symbol der App entfernt, um die Löschung zu erschweren. Die Einnahmequelle der Cyber-Kriminellen stellt das Einblenden von unzähligen Werbeanzeigen auf dem Bildschirm der Smartphones dar.

SimBad verfügt über Funktionen, die in drei Arten unterteilt werden können – Werbung, Phishing und Exposition gegenüber anderen Anwendungen. Aufgrund der Möglichkeit, eine bestimmte URL in einem Browser zu öffnen, können die Kriminellen, die hinter SimBad stecken, Phishing-Seiten für mehrere Plattformen generieren und auf den infizierten Geräten öffnen, um so Spear-Phishing-Angriffe auf den Benutzer durchzuführen.

Wegen der drei Funktionen, Werbung anzuzeigen, willkürlich andere Anwendungen zu öffnen, sowie URLs über den lokalen Browser aufzurufen, firmiert SimBad als Adware. Das Schadprogramm besitzt in seinem Code aber bereits die Struktur, um sich zu einer grösseren Bedrohung, einer echten Malware, zu entwickeln.

Hier geht’s zum vollständigen Blog-Beitrag (auf Englisch)