Sicherheitsexperten des Cybersecurity-Unternehmens Group-IB haben eine neue, hochgefährliche Kombination von Schadsoftware für Android-Endgeräte identifiziert. Die Angreifer verknüpfen dabei den bekannten Fernzugriff-Trojaner SpyNote mit einer spezialisierten NFC-Relay-Malware namens WindRelay. Diese technische Allianz ermöglicht es Kriminellen, Bankkonten ihrer Opfer nahezu in Echtzeit zu übernehmen und zu plündern.
Nach Erkenntnissen der Analysten zielt die aktuelle Kampagne primär auf Nutzer in Mitteleuropa ab, wobei insbesondere Tschechien, die Slowakei und Slowenien im Fokus stehen. Die Effizienz der Methode ist beachtlich: Group-IB dokumentierte einen Fall, in dem es den Tätern gelang, innerhalb von nur 13 Minuten nach der Infektion die vollständige Kontrolle über das Bankkonto des Opfers zu erlangen.
Technischer Hebel durch NFC-Relay und Fernsteuerung
Der entscheidende Vorteil für die Kriminellen liegt in der Kombination zweier Angriffsvektoren. Während SpyNote weitreichende Fernzugriffsrechte auf dem Smartphone etabliert, ermöglicht das Modul WindRelay den Diebstahl von Bankkartendaten über die NFC-Schnittstelle (Near Field Communication).
Durch dieses sogenannte NFC-Relay können die Nahfunk-Daten der im Smartphone hinterlegten oder physisch an das Gerät gehaltenen Karten in Echtzeit an ein Endgerät der Täter weitergeleitet werden.
Angesichts solch raffinierter Methoden ist ein proaktiver Schutz des eigenen Geräts unerlässlich, um Banking-Apps und persönliche Daten effektiv abzusichern. Ein kostenloser PDF-Ratgeber zeigt Ihnen fünf einfache Schritte, mit denen Sie Ihr Android-Smartphone sofort gegen Hacker und Malware wappnen können. 5 Schutzmaßnahmen jetzt entdecken
Dieser Prozess hebelt wesentliche Sicherheitsmechanismen des Android-Betriebssystems aus. Da die Täter durch SpyNote gleichzeitig Zugriff auf die Benutzeroberfläche haben, können sie Sicherheitswarnungen unterdrücken oder erforderliche Bestätigungen für Transaktionen direkt auf dem Gerät des Opfers vornehmen, während sie über die NFC-Daten unautorisierte Zahlungen autorisieren.
Vorgehensweise über Social Engineering
Die Infektion der Geräte erfolgt nicht über technische Sicherheitslücken allein, sondern durch gezielte Täuschung. Die Täter nehmen telefonisch Kontakt zu potenziellen Opfern auf und geben sich als Mitarbeiter eines Bankinstituts aus. In diesen Gesprächen werden die Nutzer dazu verleitet, eine vermeintlich dringliche Sicherheits-App oder ein Update zu installieren.
Dabei umgehen die Angreifer die offiziellen Distributionswege. Nach Angaben von Group-IB wurden im Google Play Store keine Anwendungen gefunden, die diese spezifische Malware-Kombination enthalten. Stattdessen erfolgt die Installation über externe Quellen, die den Opfern während des Telefonats genannt werden.
Wer sich mit dem Risiko manipulierter Apps und fremder Zugriffe befasst, sollte die Sicherheits-Grundlagen seines Betriebssystems regelmäßig überprüfen. Erfahren Sie in diesem gratis Leitfaden, wie Sie Sicherheitslücken schließen und durch die richtigen Einstellungen verhindern, dass Kriminelle Ihr Smartphone ausspähen. Kostenlosen Sicherheits-Ratgeber herunterladen
Analyse der Malware-Proben
Die Bedrohung ist kein kurzfristiges Phänomen, sondern scheint systematisch vorbereitet worden zu sein. Sicherheitsforscher identifizierten auf der Analyseplattform VirusTotal insgesamt 23 Proben der Malware, die in einem Zeitraum zwischen November des vergangenen Jahres und Juli dieses Jahres hochgeladen wurden. Diese Funde belegen eine kontinuierliche Aktivität der Hintermänner über mehrere Monate hinweg.
Branchenexperten raten zur besonderen Vorsicht bei unaufgeforderten Anrufen von angeblichen Bankmitarbeitern und betonen, dass seriöse Institute niemals zur Installation von Software über Drittanbieter-Quellen oder per direktem Link am Telefon auffordern.
Da die Malware darauf ausgelegt ist, Konten innerhalb weniger Minuten nach der Aktivierung zu kompromittieren, bleibt betroffenen Nutzern oft kaum Zeit für eine manuelle Reaktion, sobald die Fernzugriffsrechte einmal gewährt wurden.
