Xenomorph Banking-Malware von Ihrem Android Gerät entfernen

Was ist Xenomorph Malware?

Xenomorph ist eine Android-Malware, die es auf Bankdaten abgesehen hat und von der Firma ThreatFabric zur Bekämpfung von Cyberkriminalität entdeckt wurde.

Laut unserer Forschung ist dies ein bösartiges Programm, das sich noch in im Entwicklungsstadium befindet. Es hat jedoch bereits schon mehr als fünfzig europäische Banken auf seiner Liste von Zielen. Zu den Geschäften dieser Malware gehören mehrere Finanz-/Bankinstitute in Belgien, Italien, Portugal und Spanien.

Zum Zeitpunkt der Erstellung dieses Artikels wurde Xenomorph in großem Umfang über eine im Google Play Store verfügbare App zur Steigerung der Systemleistung verbreitet.

Übersicht über Xenomorph

Xenomorph nutzt die Android Accessibility Services, um die Kontrolle über das infizierte Gerät zu erlangen. Diese Dienste sind so konzipiert, dass sie den Benutzern zusätzliche Hilfe bei der Interaktion mit ihren Geräten bieten, z. B. können sie den Bildschirm ablesen, den Touchscreen simulieren und andere Aktionen durchführen. Daher bittet Xenomorph um Genehmigung, um Accessibility Services zu nutzen. Wenn sie zugelassen werden, missbraucht er die Dienste, um bösartige Aktionen durchzuführen.

Als wir diese Malware untersuchten, wurde sie über eine Anwendung namens "Fast Cleaner" verbreitet (die Xenomorph erst nach der Installation herunterlud); daher bat diese Anwendung um die Erlaubnis, die Android Accessibility Services zu nutzen.

Das bösartige Programm ist in der Lage, Überlagerungsfenster anzuzeigen, die als die Zielanwendung (z. B. eine bestimmte Online-Banking-Anwendung) dargestellt werden, und so die vom Benutzer eingegebenen Anmeldedaten zu sammeln. Xenomorph kann auch Einmal-Passwörter erlangen, z. B. solche, die zur Erhöhung der Sicherheit von Bankensoftware verwendet werden. Diese Malware kann Benachrichtigungen und SMS (Textnachrichten) verwalten, z. B. aufzeichnen, abfangen und so weiter.

Es gibt Hinweise darauf, dass Xenomorph mit zusätzlichen Funktionen zum Datendiebstahl, wie z. B. Keylogging (Aufzeichnung von Tastatureingaben), aktualisiert werden könnte, da sein Code Spuren solcher Befehle enthält.

Zusammenfassend lässt sich sagen, dass solche bösartigen Programme, die in ein Gerät eingeschleust werden, zu einer verminderten Systemleistung, zu schwerwiegenden Datenschutzproblemen, zu finanziellen Verlusten und zum Identitätsdiebstahl führen können. Wenn der Verdacht besteht bzw. bekannt ist, dass Xenomorph (oder eine andere Malware) das System bereits infiziert hat, raten wir dringend dazu, ein Antivirenprogramm zu verwenden, um es unverzüglich zu entfernen.

Zusammenfassung der Bedrohung:

Name	Xenomorph Virus
Art der Bedrohung	Android Malware, bösartige Anwendung, unerwünschte Anwendung.
Erkennungsnamen	Avast-Mobile (Android:Evo-gen [Trj]), DrWeb (Android.BankBot.11487), ESET-NOD32 (eine Variante von Android/TrojanDropper.Agent.J), Kaspersky (HEUR:Trojan.AndroidOS.Boogr.gsh), vollständige Liste (VirusTotal)
Symptome	Das Gerät läuft langsam, die Systemeinstellungen werden ohne Erlaubnis des Benutzers geändert, fragwürdige Anwendungen werden angezeigt, der Daten- und Akkuverbrauch wird erheblich erhöht, Browser leiten auf fragwürdige Webseiten weiter, aufdringliche Werbung wird angezeigt.
Verbreitungsmethoden	Infizierte E-Mail-Anhänge, bösartige Online-Werbung, Social Engineering, betrügerische Anwendungen, Betrugs-Webseiten.
Schaden	Gestohlene persönliche Informationen (private Nachrichten, Anmeldedaten/Passwörter usw.), verringerte Geräteleistung, schnelles Entladen des Akkus, verringerte Internetgeschwindigkeit, große Datenverluste, finanzielle Verluste, gestohlene Identität (bösartige Apps könnten Kommunikations-Apps missbrauchen).
Malware-Entfernung (Android)	Um Malware-Infektionen zu beseitigen, empfehlen unsere Sicherheitsforscher, Ihr Android-Gerät mit legitimer Anti-Malware-Software zu scannen. Wir empfehlen Avast, Bitdefender, ESET oder Malwarebytes.

Beispiele für Android Malware

Wir haben dutzende Android-spezifische, bösartige Programme, anlysiert: Wroba, Medusa, Basbanke und SharkBot sind nur wenige Beispiele. Malware kann eine Vielzahl von schädlichen Funktionen haben, die unterschiedlich kombiniert sein können. Unabhängig davon, wie bösartige Software funktioniert, gefährdet ihr Vorhandensein auf einem Gerät die Systemintegrität und die Sicherheit der Benutzer.

Wie hat Xenomorph mein Gerät infiltriert?

Zum Zeitpunkt der Recherche wurde Xenomorph über den Google Play Store verbreitet. Die Plattform beherbergte insbesondere eine Anwendung namens „Fast Cleaner“. Sie umging die Erkennung durch den Play Store, indem sie Xenomorph nach der Installation herunterlud. Es sind jedoch auch andere Tarnungen und Verbreitungsmethoden möglich.

In der Regel wird Malware über Phishing und Social-Engineering-Methoden verbreitet. Zu den häufigsten Verbreitungsmethoden gehören: Spam-Mails, Drive-by-Downloads (heimliche und betrügerische Downloads), inoffizielle und Freeware-Downloadseiten, Peer-to-Peer-Netzwerke, Online-Betrug, illegale Software-Aktivierungswerkzeuge („Cracks“) und gefälschte Updates.

Um einige davon näher zu erläutern: Spam-Mails (z. B. E-Mails, SMS usw.) können infektiöse Dateien als Anhang enthalten. Sie können aber auch Links enthalten, die auf bösartige Webseiten weiterleiten, die den Benutzer zum Herunterladen/Installieren von Malware verleiten sollen, oder die dies ohne direktes Zutun der Benutzer tun können. Diese Dateien können ausführbare Dateien, Archive, PDF- und Microsoft Office-Dokumente, JavaScript usw. sein. Wenn eine virulente Datei geöffnet wird, wird die Infektionskette in Gang gesetzt.

„Cracking“-Werkzeuge können Systeme infizieren, anstatt lizenzierte Programme zu aktivieren. Betrügerische Updateprogramme verursachen Infektionen, indem sie veraltete Softwarefehler ausnutzen und/oder Malware installieren.

Wie vermeidet man die Installation von Malware?

Wir raten dringend dazu, Software zu recherchieren, z. B. Inhalte zu vermeiden, die absurde Versprechungen machen, Benutzerbewertungen zu lesen usw. Außerdem müssen alle Downloads von offiziellen und verifizierten Quellen durchgeführt werden. Eine weitere Empfehlung ist die Aktivierung und Aktualisierung von Software mithilfe von Werkzeugen/Funktionen, die von seriösen Entwicklern bereitgestellt werden.

Es ist wichtig, bei eingehenden E-Mails Vorsicht walten zu lassen. Die Anhänge und Links, die in verdächtigen E-Mails, SMS und anderen Nachrichten enthalten sind, dürfen nicht geöffnet werden, da dies zu einer Infektion des Systems führen kann.

Wir müssen betonen, wie wichtig es ist, ein zuverlässiges Antivirenprogramm zu haben. Sicherheitsprogramme müssen verwendet werden, um regelmäßige Systemüberprüfungen durchzuführen und Bedrohungen/Probleme zu entfernen.

Aussehen der von der Xenomorph-Malware unter dem Deckmantel der App „Fast Cleaner“ geforderten Berechtigungen:

Schnellmenü:

• Einleitung
• Den Browserverlauf aus dem Chrome Internetbrowser löschen
• Browser-Benachrichtigungen im Chrome Internetbrowser deaktivieren
• Den Chrome Internetbrowser zurücksetzen
• Den Browserverlauf aus dem Firefox Internetbrowser löschen
• Browser-Benachrichtigungen im Firefox Internetbrowser deaktivieren
• Den Firefox Internetbrowser zurücksetzen
• Potenziell unerwünschte und/oder bösartige Anwendungen deinstallieren
• Das Android Gerät im "Abgesicherten Modus" starten
• Den Akku-Verbrauch verschiedener Anwendungen überprüfen
• Den Datenverbrauch verschiedener Anwendungen überprüfen
• Die neuesten Software-Updates installieren
• Das System auf den Werkszustand zurücksetzen
• Anwendungen mit Administratorenrechten deaktivieren

Den Browserverlauf aus dem Chrome Internetbrowser löschen:

Tippen Sie auf die Schaltfläche "Menü" (drei Punkte in der rechten oberen Ecke des Bildschirms) und wählen Sie in dem geöffneten Aufklappmenü "Verlauf".

Tippen Sie auf "Browserdaten löschen", wählen Sie die Registerkarte "ERWEITERT", wählen Sie den Zeitraum und die Arten von Dateien, die Sie löschen möchten und tippen Sie auf "Daten löschen".

[Zurück zum Inhaltsverzeichnis]

Browserbenachrichtigungen im Chrome Internetbrowser deaktivieren:

Tippen Sie auf die Schaltfläche "Menü" (drei Punkte in der rechten oberen Ecke des Bildschirms) und wählen Sie in dem geöffneten Aufklappmenü "Einstellungen".

Scrollen Sie nach unten, bis Sie die Option "Seiten-Einstellungen" sehen und tippen Sie darauf. Scrollen Sie nach unten, bis Sie die Option "Benachrichtigungen" sehen und tippen Sie darauf.

Suchen Sie die Webseiten, die Browser-Benachrichtigungen übermitteln, tippen Sie auf sie und klicken Sie auf "Löschen & Zurücksetzen". Dadurch werden die diesen Webseiten gewährten Berechtigungen zum Übermitteln von Benachrichtigungen entfernt, wenn Sie dieselbe Seite jedoch erneut besuchen, wird sie möglicherweise erneut um Erlaubnis bitten. Sie können wählen, ob Sie diese Berechtigungen erteilen möchten oder nicht (falls Sie dies ablehnen, geht die Webseite zum Abschnitt "Blockiert" über und wird Sie nicht länger um die Berechtigung bitten).

[Zurück zum Inhaltsverzeichnis]

Den Chrome Internetbrowser zurücksetzen:

Gehen Sie auf "Einstellungen", scrollen Sie nach unten, bis Sie "Apps" sehen und tippen Sie darauf.

Scrollen Sie nach unten, bis Sie die Anwendung "Chrome" finden, wählen Sie sie aus und tippen Sie auf die Option "Speicher".

Tippen Sie auf "SPEICHER VERWALTEN", dann auf "ALLE DATEN LÖSCHEN" und bestätigen Sie die Aktion durch das Tippen auf "OK". Beachten Sie, dass durch das Zurücksetzen des Browsers alle in ihm gespeicherten Daten gelöscht werden. Daher werden alle gespeicherten Anmeldedaten/Passwörter, der Browserverlauf, Nicht-Standardeinstellungen und andere Daten gelöscht werden. Sie müssen sich auch bei allen Webseiten erneut anmelden.

[Zurück zum Inhaltsverzeichnis]

Den Browserverlauf aus dem Firefox Internetbrowser löschen:

Tippen Sie auf die Schaltfläche "Menü" (drei Punkte in der rechten oberen Ecke des Bildschirms) und wählen Sie in dem geöffneten Aufklappmenü "Verlauf".

Scrollen Sie nach unten, bis Sie "Private Daten löschen" sehen, und tippen Sie darauf. Wählen Sie die Arten von Dateien aus, die Sie entfernen möchten, und tippen Sie auf "DATEN LÖSCHEN".

[Zurück zum Inhaltsverzeichnis]

Browserbenachrichtigungen im Firefox Internetbrowser deaktivieren:

Besuchen Sie die Webseite, die Browser-Benachrichtigungen übermittelt, tippen Sie auf das Symbol links in der URL-Leiste (das Symbol ist nicht unbedingt ein "Schloss") und wählen Sie "Seiten-Einstellungen bearbeiten".

Erklären Sie sich in dem geöffneten Pop-up mit der Option "Benachrichtigungen" einverstanden und tippen Sie auf "LÖSCHEN".

[Zurück zum Inhaltsverzeichnis]

Den Firefox Internetbrowser zurückgesetzen:

Gehen Sie auf "Einstellungen", scrollen Sie nach unten, bis Sie "Apps" sehen und tippen Sie darauf.

Scrollen Sie nach unten, bis Sie die Anwendung "Firefox" finden, wählen Sie sie aus und tippen Sie auf die Option "Speicher".

Tippen Sie auf "DATEN LÖSCHEN" und bestätigen Sie die Aktion, indem Sie auf "LÖSCHEN" tippen. Beachten Sie, dass durch das Zurücksetzen des Browsers alle in ihm gespeicherten Daten gelöscht werden. Daher werden alle gespeicherten Anmeldedaten/Passwörter, der Browserverlauf, Nicht-Standardeinstellungen und andere Daten gelöscht werden. Sie müssen sich auch bei allen Webseiten erneut anmelden.

[Zurück zum Inhaltsverzeichnis]

Potenziell unerwünschte und/oder bösartige Anwendungen deinstallieren:

Gehen Sie auf "Einstellungen", scrollen Sie nach unten, bis Sie "Apps" sehen und tippen Sie darauf.

Scrollen Sie nach unten, bis Sie eine potenziell unerwünschte und/oder bösartige Anwendung sehen, wählen Sie sie aus und tippen Sie auf "Deinstallieren". Falls Sie die ausgewählte App aus irgendeinem Grund nicht entfernen können (z.B. wenn Sie von einer Fehlermeldung veranlasst werden), sollten Sie versuchen, den "Abgesicherten Modus" zu verwenden.

[Zurück zum Inhaltsverzeichnis]

Das Android-Gerät im "Abgesicherten Modus" starten:

Der "Abgesicherte Modus" im Android-Betriebssystem deaktiviert vorübergehend die Ausführung aller Anwendungen Dritter. Die Verwendung dieses Modus ist eine gute Möglichkeit, verschiedene Probleme zu diagnostizieren und zu lösen (z.B. bösartige Anwendungen zu entfernen, die Benutzer daran hindern, dies zu tun, wenn das Gerät "normal" läuft).

Drücken Sie die "Einschalttaste" und halten Sie sie gedrückt, bis der Bildschirm "Ausschalten" angezeigt wird. Tippen Sie auf das Symbol "Ausschalten" und halten Sie ihn gedrückt. Nach einigen Sekunden wird die Option "Abgesicherter Modus" angezeigt und Sie können sie durch einen Neustart des Geräts ausführen.

[Zurück zum Inhaltsverzeichnis]

Den Akku-Verbrauch verschiedener Anwendungen überprüfen:

Gehen Sie auf "Einstellungen", scrollen Sie nach unten, bis Sie "Gerätewartung" sehen und tippen Sie darauf.

Tippen Sie auf "Akku" und überprüfen Sie die Verwendung der einzelnen Anwendungen. Seriöse/echte Anwendungen werden entwickelt, um so wenig Energie wie möglich zu verbrauchen, um die beste Benutzererfahrung zu bieten und Strom zu sparen. Daher kann ein hoher Akkuverbrauch darauf hinweisen, dass die Anwendung bösartig ist.

[Zurück zum Inhaltsverzeichnis]

Den Datenverbrauch verschiedener Anwendungen überprüfen:

Gehen Sie auf "Einstellungen", scrollen Sie nach unten, bis Sie "Verbindungen" sehen und tippen Sie darauf.

Scrollen Sie nach unten, bis Sie "Datenverbrauch" sehen, und wählen Sie diese Option aus. Wie beim Akku, werden seriöse/echte Anwendungen so entwickelt, dass der Datenverbrauch so weit wie möglich minimiert wird. Daher kann eine erhebliche Datennutzung auf die Präsenz einer bösartigen Anwendung hindeuten. Beachten Sie, dass einige bösartige Anwendungen entwickelt werden könnten, um nur dann zu agieren, wenn das Gerät mit einem drahtlosen Netzwerk verbunden ist. Aus diesem Grund sollten Sie sowohl die mobile als auch die WLAN-Datennutzung überprüfen.

Falls Sie eine Anwendung finden, die viele Daten verwendet, obwohl Sie sie nie verwenden, empfehlen wir Ihnen dringend, sie so schnell wie möglich zu deinstallieren.

[Zurück zum Inhaltsverzeichnis]

Die neuesten Software-Updates installieren:

Die Software auf dem neuesten Stand zu halten, ist eine bewährte Vorgehensweise, wenn es um die Gerätesicherheit geht. Die Gerätehersteller veröffentlichen kontinuierlich verschiedene Sicherheits-Patches und Android-Updates, um Fehler und Bugs zu beheben, die von Cyberkriminellen missbraucht werden können. Ein veraltetes System ist viel anfälliger, weshalb Sie immer sicherstellen sollten, dass die Software Ihres Geräts auf dem neuesten Stand ist.

Gehen Sie auf "Einstellungen", scrollen Sie nach unten, bis Sie "Apps" sehen und tippen Sie darauf.

Tippen Sie auf "Updates manuell herunterladen" und prüfen Sie, ob Updates verfügbar sind. Falls ja, dann installieren Sie sie unverzüglich. Wir empfehlen auch, die Option "Updates automatisch herunterladen" zu aktivieren - damit kann das System Sie benachrichtigen, sobald ein Update veröffentlicht wird und/oder es automatisch installieren.

[Zurück zum Inhaltsverzeichnis]

Das System auf den Werkszustand zurücksetzen:

Das Ausführen eines "Factory-Resets" ist eine gute Möglichkeit, alle unerwünschten Anwendungen zu entfernen, die Systemeinstellungen auf die Standardeinstellungen zurückzusetzen und das Gerät allgemein zu reinigen. Bedenken Sie außerdem, dass alle Daten auf dem Gerät gelöscht werden, einschließlich Fotos, Video-/Audiodateien, Telefonnummern (die im Gerät gespeichert sind, nicht auf der SIM-Karte), SMS-Nachrichten und so weiter. D.h. das Gerät wird in den Werkszustand zurückgesetzt.

Sie können auch die grundlegenden Systemeinstellungen und/oder schlicht die Netzwerkeinstellungen wiederherstellen.

Gehen Sie auf "Einstellungen", scrollen Sie nach unten, bis Sie "Über das Telefon" sehen und tippen Sie darauf.

Scrollen Sie nach unten, bis Sie die Option "Zurücksetzen" sehen und tippen Sie darauf. Wählen Sie nun die Aktion aus, die Sie ausführen möchten:
"Einstellungen zurücksetzen" - alle Systemeinstellungen auf die Standardeinstellungen zurücksetzen;
"Netzwerkeinstellungen zurücksetzen" - alle netzwerkbezogenen Einstellungen auf die Standardeinstellungen zurücksetzen;
"Auf Werkszustand zurücksetzen" - setzen Sie das gesamte System zurück und löschen Sie alle gespeicherten Daten vollständig;

[Zurück zum Inhaltsverzeichnis]

Anwendungen mit Administratorrechten deaktivieren:

Wenn eine bösartige Anwendung Administratorrechte erhält, kann dies das System ernsthaft beschädigen. Um das Gerät so sicher wie möglich zu halten, sollten Sie immer überprüfen, welche Apps solche Berechtigungen haben und diejenigen deaktivieren, die diese nicht haben sollten.

Gehen Sie auf "Einstellungen", scrollen Sie nach unten, bis Sie "Sperrbildschirm und Sicherheit" sehen und tippen Sie darauf.

Scrollen Sie nach unten, bis Sie "Andere Sicherheitseinstellungen" sehen, tippen Sie auf sie und dann auf "Administratoren-Apps des Geräts".

Identifizieren Sie Anwendungen, die keine Administratorrechte haben sollen, tippen Sie auf sie und dann auf "DEAKTIVIEREN".

Häufig gestellte Fragen (FAQ)

Mein Android-Gerät ist mit Xenomorph-Malware infiziert. Sollte ich mein Speichergerät formatieren, um sie loszuwerden?

Nein. Die Formatierung ist für die Entfernung von Xenomorph unnötig.

Was sind die größten Probleme, die Xenomorph-Malware verursachen kann?

Die Gefahren, die von einem bösartigen Programm ausgehen, hängen von seinen Fähigkeiten und den Zielen der Cyberkriminellen ab. Xenomorph ist als Banking-Malware eingestuft und verfügt als solche über verschiedene Fähigkeiten zum Datendiebstahl. Zu den Hauptgefahren von Xenomorph-Infektionen gehören daher schwerwiegende Datenschutzprobleme, finanzielle Verluste und Identitätsdiebstahl.

Was ist der Zweck von Xenomorph Malware?

Die meisten Angriffe mit bösartiger Software zielen darauf ab, Einnahmen für die Angreifer zu generieren, was wahrscheinlich auch auf Xenomorph zutrifft, da es sich um eine Banking-Malware handelt. Generell können bösartige Programme auch zum Vergnügen von Cyberkriminellen veröffentlicht werden, um bestimmte Prozesse zu stören (z. B. Webseiten, Dienste, Unternehmen usw.), aus persönlichen Rachegelüsten oder politischen/geopolitischen Motiven usw.

Wie hat Xenomorph Malware meinen Computer infiltriert?

Es wurde beobachtet, dass Xenomorph unter dem Deckmantel einer Anwendung zur Steigerung der Geräteleistung über den Google Play Store verbreitet wird. Zu den häufigsten Verbreitungsmethoden für Malware gehören: Spam-E-Mails, Drive-by-Downloads (heimliche und betrügerische Downloads), inoffizielle und Freeware-Downloadseiten, Peer-to-Peer-Netzwerke, Online-Betrug, illegale Software-Aktivierungswerkzeuge („Cracks“) und gefälschte Updates.

▼ Diskussion einblenden