{"id":251937,"date":"2021-04-07T11:41:35","date_gmt":"2021-04-07T09:41:35","guid":{"rendered":"https:\/\/www.borncity.com\/blog\/?p=251937"},"modified":"2021-04-13T18:07:04","modified_gmt":"2021-04-13T16:07:04","slug":"vorlufige-analyse-des-gigaset-malware-angriffs-durch-auto-installer-in-der-firmware","status":"publish","type":"post","link":"https:\/\/borncity.com\/blog\/2021\/04\/07\/vorlufige-analyse-des-gigaset-malware-angriffs-durch-auto-installer-in-der-firmware\/","title":{"rendered":"Vorläufige Analyse des Gigaset Malware-Angriffs durch Auto-Installer in der Firmware"},"content":{"rendered":"

[English<\/a>]Ich fasse mal vorab einige Erkenntnisse zusammen, die Sicherheitsanalysten von Malwarebytes zum Malware-Angriff auf die Gigaset Android-Smartphones dokumentiert haben. Die Infektion konnte aus einer Kombination eines infizierten Update-Servers in Verbindung mit der in der Firmware der Gigaset-Android-Smartphones installierten Auto Installers com.redstone.ota.ui <\/em>(auch als Android\/PUP.Riskware.Autoins.Redstone <\/em>bezeichnet) erfolgen.<\/p>\n

<\/p>\n

R\u00fcckblick: Malware auf Gigaset Android-Ger\u00e4ten<\/h2>\n

\"\"Seit ca. Gr\u00fcndonnerstag (1. April 2021) gab es ein massives Problem mit Gigaset Android-Ger\u00e4ten, die pl\u00f6tzlich durch Malware befallen wurden. Es wurden automatisch unerw\u00fcnschte Apps installiert, die ihr Eigenleben auf den Smartphones f\u00fchren. Das Ganze wurde von mir ja in diversen Blog-Beitr\u00e4gen (siehe Artikelende) dokumentiert (siehe Gigaset Android-Update-Server liefern vermutlich Malware aus<\/a>).<\/p>\n

Bei Malwarebytes gab es noch diesen Post<\/a>\u00a0 im Malwarebytes-Forum zum Thema, was ich ebenfalls verlinkt hatte. Parallel hatte ich Malwarebytes per Twitter auf die Thematik bei Gigaset hingewiesen und meinen englischsprachigen Blog-Beitrag als Referenz verlinkt. Sicherheitsforscher von ESET waren auch von mir kontaktiert worden – eine direkte R\u00fcckmeldung gab es \u00fcber Twitter aber noch nicht. Von Gigaset liegt mir auch noch keine technische Analyse vor.<\/p>\n

MalwareBytes dokumentiert den Fall<\/h2>\n

\u00dcber einen Artikel bei The Hacker News, den ich im Beitrag Update zum Malware-Befall bei Gigaset Android-Ger\u00e4ten (6.4.2021)<\/a> kurz erw\u00e4hnt habe, bin ich dann aber auf den Malwarebytes-Sicherheitsspezialisten Nathan Collier aufmerksam geworden. Collier hat vor wenigen Stunden eine detailliertere Analyse im Blog-Beitrag Pre-installed auto installer threat found on Android mobile devices in Germany<\/a> vorgelegt. Zitat aus seinem Beitrag:<\/p>\n

Der \u00dcbelt\u00e4ter, der diese Malware-Apps installiert, ist die Update-App mit dem Paketnamen com.redstone.ota.ui<\/em>, die eine vorinstallierte System-App ist. Diese App ist nicht nur der System-Updater des Mobilger\u00e4ts, sondern auch ein Auto-Installer.<\/p><\/blockquote>\n

Dieser Auto-Installer ist der System-Updater vieler Android-Mobilger\u00e4te aus chinesischer Produktion und auf dem Ger\u00e4t werksseitig vorinstalliert. Sicherheitsforscher bezeichnen das Paket com.redstone.ota.ui<\/em> auch als Android\/PUP.Riskware.Autoins.Redstone<\/em>, also als Riskware. <\/em>Laut Nathan Collier installiert dieser Auto-Installer drei Versionen des Android\/Trojan.Downloader.Agent.WAGD. <\/em><\/p>\n