{"id":195535,"date":"2017-10-20T10:30:38","date_gmt":"2017-10-20T08:30:38","guid":{"rendered":"http:\/\/www.borncity.com\/blog\/?p=195535"},"modified":"2022-04-05T05:36:50","modified_gmt":"2022-04-05T03:36:50","slug":"8-android-apps-im-play-store-mit-sockbot-malware-gefunden","status":"publish","type":"post","link":"https:\/\/borncity.com\/blog\/2017\/10\/20\/8-android-apps-im-play-store-mit-sockbot-malware-gefunden\/","title":{"rendered":"8 Android-Apps im Play Store mit Sockbot Malware gefunden"},"content":{"rendered":"<p><img loading=\"lazy\" decoding=\"async\" style=\"float: left; margin: 0px 10px 0px 0px; display: inline\" src=\"https:\/\/borncity.com\/blog\/wp-content\/uploads\/2012\/07\/android.jpg\" width=\"58\" align=\"left\" height=\"58\"\/>Erneuter Fund von mit Malware versehener Apps im Google Play Store. Dieses Mal waren acht Apps mit einer Malware, die die Ger\u00e4te in ein Botnet integriert, betroffen. <\/p>\n<p><!--more--><\/p>\n<p><img loading=\"lazy\" decoding=\"async\" alt=\"\" src=\"https:\/\/ssl-vg03.met.vgwort.de\/na\/56e3f6d3e40a4aa29e070ed238c9cef1\" width=\"1\" height=\"1\"\/>Entdeckt haben diese Apps Sicherheitsforscher von Symantec am 11. Oktober 2017, die das Ganze in diesem <a href=\"https:\/\/www.symantec.com\/connect\/blogs\/android-malware-google-play-adds-devices-botnet-and-performs-ddos-attacks\" target=\"_blank\" rel=\"noopener noreferrer\">Blog-Beitrag<\/a> publiziert haben. Laut Symantec wird die Android-Malware als <a href=\"https:\/\/web.archive.org\/web\/20171022051750\/https:\/\/www.symantec.com\/security_response\/writeup.jsp?docid=2017-101314-1353-99\" target=\"_blank\" rel=\"noopener noreferrer\">Android. Sockbot<\/a> erkannt. Es handelt sich um einen Trojaner f\u00fcr Android, der einen SOCKS-Proxy auf befallenen Ger\u00e4ten erzeugt. <\/p>\n<p><img decoding=\"async\" title=\"SockBot-Trojaner\" alt=\"SockBot-Trojaner\" src=\"https:\/\/www.symantec.com\/connect\/sites\/default\/files\/users\/user-1013431\/assasins_1.jpg\"\/>(Quelle: Symantec)<\/p>\n<p>Die Apps fanden sich in Google Play ausgibt, wobei Symantec schreibt, dass man <img decoding=\"async\" style=\"float: left; margin: 10px 10px 10px 0px; display: inline\" src=\"https:\/\/web.archive.org\/web\/20171105145843\/http:\/\/www.symantec.com\/content\/en\/us\/global\/images\/threat_writeups\/2017-101314-1353-99.1.png\" align=\"left\"\/>mindestens acht solcher Apps identifiziert habe. Diese besitzen eine Installationsbasis von 600.000 bis 2,6 Millionen Ger\u00e4te. Die Malware wird mit Assassins Skins-Paketen verteilt und meldet sich mit folgendem Icon auf dem Android-Ger\u00e4t. Die Apps geben vor, Character in Minecraft (Pocket Edition) zu modifizieren. Im Hintergrund f\u00fchrt der Trojaner dann seine Aktivit\u00e4ten aus. Der Publisher der App ist der Entwickler FunBaster. Die Apps fordern folgende Berechtigungen an:<\/p>\n<ul>\n<li>Access location information, such as Cell-ID or Wi-Fi  <\/li>\n<li>Access information about networks  <\/li>\n<li>Access information about the Wi-Fi state  <\/li>\n<li>Open network connections  <\/li>\n<li>Read from external storage devices  <\/li>\n<li>Check the phone's current state  <\/li>\n<li>Start once the device has finished booting  <\/li>\n<li>Display alerts  <\/li>\n<li>Make the phone vibrate  <\/li>\n<li>Write to external storage devices<\/li>\n<\/ul>\n<p>Nach der Installation l\u00e4sst sich der Trojaner zur Generierung von Werbeeinnahmen \u00fcber eingeblendete Anzeigen verwenden. Die App stellt dazu eine Verbindung zu einem Command-and-Control-Server (C&amp;C) auf Port 9001 her, um Befehle zu empfangen. Der C&amp;C-Server fordert die App auf, einen Socket mit SOCKS zu \u00f6ffnen und auf eine Verbindung von einer angegebenen IP-Adresse auf einem bestimmten Port zu warten.<\/p>\n<p>Eine Verbindung kommt von der angegebenen IP-Adresse auf dem angegebenen Port und es wird ein Befehl zum Verbinden mit einem Zielserver ausgegeben. Die App stellt eine Verbindung zum angeforderten Zielserver her und erh\u00e4lt eine Liste der Anzeigen und die dazugeh\u00f6rigen Metadaten (Anzeigentyp, Name der Bildschirmgr\u00f6\u00dfe). Mit dem gleichen SOCKS-Proxy-Mechanismus wird der App befohlen, sich mit einem Anzeigenserver zu verbinden und Anzeigenanforderungen zu starten.<\/p>\n<p>Aber es gibt keinen Code, um die Werbung auch anzuzeigen. Symantec vermutet daher, dass die Trojaner die Ger\u00e4te zu einem Botnetz zusammen schalten sollten, um DDoS-Angriffe durchzuf\u00fchren. Diese Malware richtet sich in erster Linie an Anwender in den USA, ist aber auch in Russland, der Ukraine, Brasilien und Deutschland pr\u00e4sent. Weitere Details lassen sich dem <a href=\"https:\/\/www.symantec.com\/connect\/blogs\/android-malware-google-play-adds-devices-botnet-and-performs-ddos-attacks\" target=\"_blank\" rel=\"noopener noreferrer\">Symantec-Beitrag<\/a> entnehmen.<\/p>\n<p>(via)<\/p>\n","protected":false},"excerpt":{"rendered":"<p>Erneuter Fund von mit Malware versehener Apps im Google Play Store. Dieses Mal waren acht Apps mit einer Malware, die die Ger\u00e4te in ein Botnet integriert, betroffen.<\/p>\n","protected":false},"author":2,"featured_media":0,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[131,426],"tags":[4308,4346,1018,4328],"class_list":["post-195535","post","type-post","status-publish","format-standard","hentry","category-android","category-sicherheit","tag-android","tag-app","tag-malware","tag-sicherheit"],"_links":{"self":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/195535","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/comments?post=195535"}],"version-history":[{"count":0,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/195535\/revisions"}],"wp:attachment":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/media?parent=195535"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/categories?post=195535"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/tags?post=195535"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}