Die Experten von Kaspersky Lab haben eine hochkomplexe Cyberspionage-Kampagne entdeckt, die seit mindestens 2015 Android-Nutzer im Nahen Osten angreift.
Die Experten von Kaspersky Lab haben eine hochkomplexe Cyberspionage-Kampagne entdeckt, die seit mindestens 2015 Android-Nutzer im Nahen Osten angreift [1]. ZooPark kann sowohl auf dem Smartphone gespeicherte Daten auslesen als auch Backdoor-Funktionen nutzen. Für die Verbreitung werden legitime und populäre Webseiten aus dem Nahen Osten genutzt.
Die Experten von Kaspersky Lab haben Zugriff auf das Sample einer offenbar noch unbekannten Android-Malware erhalten, die zunächst ein technisch sehr einfach gestricktes Cyberspionage-Tool zu sein schien. Bei weiteren Untersuchungen wurde jedoch eine aktuelle und hochentwickelte Version entdeckt, insgesamt wurden vier Generation der ZooPark-Familie gefunden.
Einige der schädlichen Apps wurden über populäre Nachrichten- und politische Webseiten in der Region verbreitet. Sie tarnen sich unter anderem als legitime Apps mit Namen wie „TelegramGroups“ oder „Alnaharegypt news“. Nach der erfolgreichen Infektion können die Angreifer unter anderem auf folgende Informationen zugreifen:
- Kontakte,
- Zugangsdaten,
- Anrufprotokolle und Audiomitschnitte von Gesprächen,
- auf der SD-Karte gespeicherte Bilddaten,
- GPS-Daten,
- SMS-Nachrichten,
- Details zu installierten Apps und Browserdaten,
- Keylogs und Clipboard-Daten.
Darüber hinaus kann die Malware über Backdoor-Funktionalitäten heimlich SMS senden und Anrufe durchführen sowie Shell-Commands ausführen. Eine weitere Funktion betrifft Messenger wie Telegram, WhatsApp, IMO, aber auch den Chrome-Browser und andere Anwendungen, bei der Informationen aus den App-internen Datenbanken abgegriffen werden. Im Fall des Browsers könnten damit die gespeicherten Zugangsdaten zu anderen Websites gestohlen werden.
„Immer mehr Menschen nutzen ihre mobilen Geräte als bevorzugtes oder sogar einziges Kommunikationsmittel“, so Alexey Firsh, Sicherheitsexperte bei Kaspersky Lab. „Das haben sicher auch staatlich-unterstützte Akteure entdeckt, die ihre Toolsets so gestalten, dass sich damit mobile Nutzer effizient tracken lassen. Die Advanced Persistent Threat (APT) ZooPark, die aktiv Ziele im Nahen Osten ausspioniert, ist hierfür ein Beispiel – aber sicher nicht das einzige.“
Die Untersuchungsergebnisse zeigen, dass die Angreifer private Nutzer in Ägypten, Jordanien, Marokko, dem Libanon und Iran im Fokus haben. Die Themen der Informationsseiten, die Opfer zur Installation der Malware verleiten sollen, lassen zudem vermuten, dass Mitglieder des Hilfswerks der Vereinten Nationen für Palästina-Flüchtlinge im Nahen Osten (UNRWA) zu den ZooPark-Opfern gehören.
Weitere Informationen zu ZooPark finden sich unter https://securelist.com/whos-who-in-the-zoo/85394/
[1]https://securelist.com/whos-who-in-the-zoo/85394/
Nützliche Links:
- Kaspersky-Untersuchung zu ZooPark: https://securelist.com/whos-who-in-the-zoo/85394/
- Kaspersky Internet Security für Android: https://www.kaspersky.de/android-security
