Android Smartphones mit vorinstallierter Triada-Malware gefunden; Stalker-Ware will Passwort zur Deinstallation

[English]Noch ein kleiner Nachtrag zum Thema Sicherheit bei Android. Vor einiger Zeit wurden erneut Billig-Android-Smartphones gefunden, auf denen die Triada-Malware vorinstalliert war. Der Remote Access-Trojaner (RAT) zieht persönliche Daten ab. Die Kampagne hat vor allem russische Opfer getroffen, wie Kasperski mitteilte. Zudem wurde eine Stalker-Ware als App gefunden, die ein Passwort zur Deinstallation fordert.

Trida-Malware auf Android-Phones

Dass Android-Geräte in der Lieferkette mit Schadsoftware infiziert werden können, ist ja bereits mehrfach bekannt geworden. Es waren meist billige Android-Smartphones von No-Name-Anbietern. Nun ist mir Anfang April 2025 neue Berichte über einen solchen Vorfall untergekommen. The Hacker News hat das Thema hier aufgegriffen, Bleeping Computer berichtete hier.

Öffentlich gemacht haben dies Experten von Kaspersky (russischer Bericht). Diese berichten, auf eine neue Version des Triada-Trojaners gestoßen zu sein, die auf Tausenden von neuen Android-Geräten vorinstalliert wurde. Die Malware wird nach dem Einrichten des Smartphones aktiv und ermöglicht Bedrohungsakteuren, Daten zu stehlen.

Es heißt, dass diese Kampagne, mit mindestens 2.600 bestätigten Infektionen zwischen dem 13. und 27. März 2025, vor allem russische Nutzer betrifft. Die Erkenntnis hat man wohl durch Kaspersky-Tools für mobile Gerätesicherheit gewonnen.

Die infizierten Smartphone-Modelle wurden wohl in Online-Shops zu vergünstigten Preisen angeboten. Obigem Tweet zufolge haben die Urheber der Kampagne bereits Beute machen können, indem 270.000 US-Dollar Guthaben in Form von Crypto-Geld von Opfern abgezogen wurden.

Google weist darauf hin, dass die von Triada infizierten Android-Geräte nicht Play Protect-zertifiziert sind und dass die Nutzer durch Google Play Protect vor Crocodilus und TsarBot geschützt sind. The Hacker News zitiert einen Google Sprecher mit: "Bei den infizierten Geräten handelt es sich um Android Open Source Project-Geräte, nicht um Android OS- oder Play Protect-zertifizierte Android-Geräte", so der Sprecher. „Wenn ein Gerät nicht Play Protect-zertifiziert ist, hat Google keine Aufzeichnungen über die Ergebnisse von Sicherheits- und Kompatibilitätstests. Play Protect-zertifizierte Android-Geräte werden umfangreichen Tests unterzogen, um die Qualität und die Sicherheit der Nutzer zu gewährleisten."

Android Stalker-Ware App will Deinstallations-Passwort

Ein anderes Thema ist eine gefundene Android-App, die unter der Kategorie Stalker-Ware rangiert. Diese will ein Passwort zur Deinstallation, wie nachfolgender Tweet auf X offen legt.

Techcrunch hat den Sachverhalt im Beitrag This sneaky Android spyware needs a password to uninstall. Here's how to remove it without one öffentlich gemacht. Die Redaktion von TechCrunch ist auf eine App zur Überwachung des Android-Smartphones gestoßen, die zur Deinstallation ein Kennwort erfordert.

Die Spyware-App, deren Namen Techcrunch nicht nennt, hindert betroffene Besitzer von Android-Geräten daran, die App zu entfernen. Das Kennwort für die Deinstallation dieser Spyware wird von demjenigen festgelegt, der sie installiert hat.

TechCrunch hat in Tests herausgefunden, dass der Neustart eines betroffenen Android-Geräts in den "abgesicherten Modus" das Laden von Drittanbieter-Apps verhindert. Dadurch könnten Betroffenen die Spyware-App deinstallieren, ohne dass die Passwortabfrage erscheint.