So entfernt man TrickMo von infizierten Android-Geräten
Verfasst von Tomas Meskauskas am
Welche Art von Malware ist TrickMo?
Der Banking-Trojaner TrickMo, der erstmals 2019 entdeckt wurde, ist 2023 mit erweiterten Funktionen wieder aufgetaucht. Die neueste Version verwendet JsonPacker zur Codeverschleierung und führt 45 Befehle ein, darunter Diebstahl von Bildschirminhalten und Overlay-Angriffe zum Abfangen von Anmeldeinformationen. Die Opfer sollten diese Malware sofort von infizierten Android-Geräten entfernen.
Overlay-Angriffe
Ähnlich wie zahlreiche andere bekannte Banking-Trojaner nutzt auch TrickMo den Barrierefreiheitsdienst, um ihre bösartigen Aktivitäten durchzuführen. Nach der Installation fordert die Malware den Benutzer auf, Zugriffsberechtigungen zu erteilen, was sie ausnutzt, um eigenständig zusätzliche Berechtigungen zu erhalten und mit dem Banking-Trojaner verbundene Aktivitäten auszuführen.
TrickMo arbeitet unauffällig, indem sie im Hintergrund eine Verbindung mit dem C&C-Server herstellt. Er überträgt verschiedene Daten, z. B. eine Liste der installierten Apps, das Gebietsschema, Geräteinformationen, den Status der Barrierefreiheit, den Status der Berechtigungen und andere für TrickMo relevante Details.
Die Malware sammelt zunächst die Paketnamen der installierten Anwendungen, um das Ziel ausfindig zu machen. Sobald das Ziel identifiziert ist, erhält die Malware einen Befehl zusammen mit der Paket-ID und einer Overlay-URL. Anschließend erstellt die Malware unter Verwendung der Paket-ID eine HTML-Datei auf dem infizierten Gerät und speichert den Inhalt der angegebenen Overlay-URL in dieser Datei.
Die Malware setzt Overlay-Angriffe ein, um Benutzer von bestimmten Finanz- und Kryptowährungsanwendungen zu täuschen. Die Malware zielt auf Anwendungen wie PayPal, MetaMask und verschiedene Bankdienste ab und erzeugt gefälschte Bildschirme oder Overlays, die die Anmeldeseiten dieser legitimen Anwendungen imitieren.
Sobald ein Benutzer eine dieser Anwendungen öffnet, wird die Malware aktiviert und zeigt ihr täuschendes Overlay an, das alle vom Benutzer eingegebenen sensiblen Informationen wie Benutzernamen und Passwörter abfängt. Diese gestohlenen Daten werden dann an die Cyberkriminellen übermittelt, die hinter der Malware stehen.
Die Liste der Zielanwendungen umfasst ein breites Spektrum, darunter Kryptowährungs-Wallets wie MetaMask und Blockchain.com, Finanzdienste wie PayPal und Skrill sowie zahlreiche Bankanwendungen wie HSBC, Lloyds Bank und ING. Außerdem zielt TrickMo auf Facebook, Netflix, AliExpress, Uber, Gmail und andere Dienste ab.
Klicker-Funktion
Außerdem enthält TrickMo im Paket eine Datei namens clicker.json. In dieser Datei sind die Namen der Anwendungen aufgelistet, mit denen es interagieren kann, zusammen mit spezifischen Regeln für die auszuführenden Aktionen. Bei Verwendung des Barrierefreiheitsdienstes folgt TrickMo den Anweisungen in der Datei clicker.json. Er kann heimlich Aktivitäten auf dem Gerät ausführen, wie das Anklicken von Schaltflächen oder das Ausführen von Aktionen in Anwendungen, ohne dass der Benutzer davon weiß.
Bildschirmaufnahmegerät
Die aktualisierte Version von TrickMo überwacht nun, welche Anwendungen ausgeführt werden, verfolgt, was der Benutzer tut, und speichert diese Informationen in einer Textdatei. Diese gesammelten Daten werden dann in eine Zip-Datei komprimiert und an die bösartigen Akteure, die die Malware kontrollieren, gesendet.
Wenn die Malware einen bestimmten Befehl zusammen mit bestimmten App-Namen empfängt, nimmt sie diese Apps in eine Liste für die Aufnahme auf. Anschließend wird die Aufnahmefunktion aktiviert, so dass die Malware alles aufnimmt, was der Benutzer in den ausgewählten Anwendungen tut.
Befehle
TrickMo bietet durch die verschiedenen Befehle, die sie empfangen kann, ein breites Spektrum an Möglichkeiten. Die Malware kann heimlich Aktionen wie das Erstellen von Screenshots, das Sammeln von SMS-Nachrichten und das Versenden nicht autorisierter Textnachrichten vom infizierten Gerät aus durchführen.
Darüber hinaus kann TrickMo Geräteeinstellungen manipulieren, Benachrichtigungen deaktivieren und Benutzerinteraktionen durch Drücken von Tasten, Entsperren des Bildschirms oder Öffnen verschiedener Anwendungseinstellungen simulieren. Darüber hinaus ist der Trojaner in der Lage, sensible Informationen zu sammeln, indem er Anrufprotokolle erfasst, Fotos und Videos aufnimmt und sogar USSD-Service-Anrufe initiiert.
Außerdem kann TrickMo sich selbst aktualisieren, deinstallieren, seine eigenen Konfigurationsdateien ändern und vieles mehr.
| Name | TrickMo Android Malware |
| Art der Bedrohung | Android-Malware, bösartige Anwendung |
| Erkennungsnamen | Avast-Mobile (Android:Evo-gen [Trj]), Combo Cleaner (Android.Trojan.Banker.WJ), ESET-NOD32 (eine Variante von Android/TrojanDropper.Agent.LWC), Kaspersky (HEUR:Trojan-Dropper.AndroidOS.Hqwar.hs), vollständige Liste (VirusTotal) |
| Symptome | Das Gerät läuft langsam, die Systemeinstellungen werden ohne Erlaubnis des Benutzers geändert, fragwürdige Anwendungen werden angezeigt, der Daten- und Akkuverbrauch wird erheblich erhöht, Browser leiten auf fragwürdige Webseiten weiter, aufdringliche Werbung wird angezeigt. |
| Verbreitungsmethoden | Gefälschte Anwendungen, infizierte E-Mail-Anhänge, bösartige Online-Werbeanzeigen, Social Engineering, Betrugs-Webseiten. |
| Schaden | Gestohlene persönliche Informationen (private Nachrichten, Anmeldedaten/Passwörter usw.), verringerte Geräteleistung, schnelles Entladen des Akkus, verringerte Internetgeschwindigkeit, große Datenverluste, finanzielle Einbußen, gestohlene Identität. |
| Malware-Entfernung (Android) | Um mögliche Malware-Infektionen zu entfernen, scannen Sie Ihren Mobilgerät mit einer legitimen Antivirus-Software. Unsere Sicherheitsforscher empfehlen die Verwendung von Combo Cleaner. |
Fazit
Zusammenfassend lässt sich sagen, dass TrickMo ein äußerst anpassungsfähiger und ausgeklügelter Banking-Trojaner mit vielfältigen Fähigkeiten ist. Seine Weiterentwicklung im Laufe der Zeit und die Fähigkeit, zahlreiche Befehle zu empfangen und auszuführen, unterstreichen seine Widerstandsfähigkeit und sein ständiges Bemühen, den Sicherheitsmaßnahmen einen Schritt voraus zu sein.
Von Overlay-Angriffen auf sensible Daten über die Manipulation von Geräteeinstellungen bis hin zu kryptobezogenen Aktivitäten stellt TrickMo eine anhaltende und vielschichtige Bedrohung dar, die die Bedeutung ständiger Wachsamkeit und fortschrittlicher Cybersicherheitsmaßnahmen zum Schutz vor ihren bösartigen Bestrebungen unterstreicht.
Wie hat TrickMo meinen Computer infiltriert?
Cyberkriminelle haben beobachtet, dass TrickMo als kostenlose Film-Streaming-App namens OnStream und als weit verbreiteter Internetbrowser, Google Chrome, getarnt wird. Die genaue Verbreitungsmethode ist jedoch nicht festgelegt.
TrickMo kann als legitime Anwendungen in App-Stores von Drittanbietern getarnt sein. Ahnungslose Benutzer, die diese gefälschten Anwendungen herunterladen und installieren, könnten ihre Geräte unwissentlich mit der Malware infizieren. Außerdem können Cyberkriminelle betrügerische Webseiten erstellen oder legitime Webseiten gefährden, um TrickMo zu verbreiten. Die Benutzer können die Malware unwissentlich herunterladen, wenn sie diese Webseiten besuchen oder auf bösartige Inhalte klicken.
Darüber hinaus könnte TrickMo über E-Mails oder Nachrichten (SMS) verbreitet werden, die bösartige Anhänge oder Links sowie Schwachstellen in Software oder Betriebssystemen enthalten.
Wie vermeidet man die Installation von Malware?
Es ist ratsam, ausschließlich Software aus autorisierten App-Stores wie dem Play Store oder dem iOS App Store zu installieren, um die Legitimität und Sicherheit der Anwendungen zu gewährleisten. Auch für Geräte wird der Einsatz einer seriösen Antiviren-Software dringend empfohlen. Außerdem sollten Benutzer Vorsicht walten lassen, wenn sie Links, die sie per SMS oder E-Mail erhalten, auf ihren mobilen Geräten öffnen.
Für Android-Benutzer ist die Aktivierung von Google Play Protect für eine zusätzliche Sicherheitsebene von entscheidender Bedeutung. Darüber hinaus wird den Benutzern empfohlen, die den Anwendungen gewährten Berechtigungen genau zu prüfen und ihre Geräte, Betriebssysteme und Anwendungen regelmäßig zu aktualisieren, um potenzielle Schwachstellen zu beseitigen.
Beispiele für HTML-Overlay-Injektionsseiten, die für verschiedene Zielanwendungen erstellt wurden: (Quelle: cyble[.]com):
Schnellmenü:
- Einleitung
- Den Browserverlauf vom Chrome Internetbrowser löschen
- Browserbenachrichtigungen im Chrome Internetbrowser deaktivieren
- Den Chrome Internetbrowser zurücksetzen
- Den Browserverlauf vom Firefox Internetbrowser löschen
- Browserbenachrichtigungen im Firefox Internetbrowser deaktivieren
- Den Firefox Internetbrowser zurücksetzen
- Potenziell unerwünschte und/oder bösartige Anwendungen deinstallieren
- Das Android Gerät im "Abgesicherten Modus" starten
- Den Akku-Verbrauch verschiedener Anwendungen überprüfen
- Den Datenverbrauch verschiedener Anwendungen überprüfen
- Die neuesten Software-Updates installieren
- Das System auf Werkseinstellungen zurücksetzen
- Anwendungen mit Administratorenrechten deaktivieren
Den Verlauf vom Chrome Internetbrowser löschen:
Tippen Sie auf die Schaltfläche „Menü“ (drei Punkte in der rechten oberen Ecke des Bildschirms) und wählen Sie in dem geöffneten Aufklappmenü „Verlauf“.
Tippen Sie auf "Browserdaten löschen", wählen Sie die Registerkarte "ERWEITERT", wählen Sie den Zeitraum und die Arten von Dateien, die Sie löschen möchten und tippen Sie auf "Daten löschen".
[Zurück zum Inhaltsverzeichnis]
Browserbenachrichtigungen im Internetbrowser Chrome deaktivieren:
Tippen Sie auf die Schaltfläche „Menü“ (drei Punkte in der rechten oberen Ecke des Bildschirms) und wählen Sie in dem geöffneten Aufklappmenü „Einstellungen“.
Scrollen Sie nach unten, bis Sie die Option „Seiten-Einstellungen“ sehen und tippen Sie darauf. Scrollen Sie nach unten, bis Sie die Option „Benachrichtigungen“ sehen und tippen Sie darauf.
Suchen Sie die Webseiten, die Browserbenachrichtigungen übermitteln, tippen Sie auf sie und klicken Sie auf „Löschen und Zurücksetzen“. Dadurch werden die Berechtigungen entfernt, die diesen Webseiten erteilt wurden, um Benachrichtigungen zu übermitteln. Falls Sie dieselbe Seite jedoch erneut besuchen, wird sie möglicherweise erneut um eine Berechtigung bitten. Sie können wählen, ob Sie diese Berechtigungen erteilen möchten oder nicht (falls Sie dies ablehnen, geht die Webseite zum Abschnitt „Blockiert“ über und wird Sie nicht länger um die Berechtigung bitten).
[Zurück zum Inhaltsverzeichnis]
Den Internetbrowser Chrome zurücksetzen:
Gehen Sie auf „Einstellungen“, scrollen Sie nach unten, bis Sie „Apps“ sehen und tippen Sie darauf.
Scrollen Sie nach unten, bis Sie die Anwendung „Chrome“ finden, wählen Sie sie aus und tippen Sie auf die Option „Speicher“.
Tippen Sie auf „SPEICHER VERWALTEN“, dann auf „ALLE DATEN LÖSCHEN“ und bestätigen Sie die Aktion durch das Tippen auf „OK“. Beachten Sie, dass durch das Zurücksetzen des Browsers alle in ihm gespeicherten Daten gelöscht werden. Daher werden alle gespeicherten Anmeldedaten/Passwörter, der Browserverlauf, Nicht-Standardeinstellungen und andere Daten gelöscht werden. Sie müssen sich auch bei allen Webseiten erneut anmelden.
[Zurück zum Inhaltsverzeichnis]
Den Verlauf vom Firefox Internetbrowser löschen:
Tippen Sie auf die Schaltfläche „Menü“ (drei Punkte in der rechten oberen Ecke des Bildschirms) und wählen Sie in dem geöffneten Aufklappmenü „Verlauf“.
Scrollen Sie nach unten, bis Sie „Private Daten löschen“ sehen, und tippen Sie darauf. Wählen Sie die Arten von Dateien aus, die Sie entfernen möchten, und tippen Sie auf „DATEN LÖSCHEN“.
[Zurück zum Inhaltsverzeichnis]
Browserbenachrichtigungen im Internetbrowser Firefox deaktivieren:
Besuchen Sie die Webseite, die Browser-Benachrichtigungen übermittelt, tippen Sie auf das Symbol links in der URL-Leiste (das Symbol ist nicht unbedingt ein „Schloss“) und wählen Sie „Seiten-Einstellungen bearbeiten“.
Erklären Sie sich in dem geöffneten Dialogfenster mit der Option „Benachrichtigungen“ einverstanden und tippen Sie auf „LÖSCHEN“.
[Zurück zum Inhaltsverzeichnis]
Den Internetbrowser Firefox zurücksetzen:
Gehen Sie auf „Einstellungen“, scrollen Sie nach unten, bis Sie „Apps“ sehen und tippen Sie darauf.
Scrollen Sie nach unten, bis Sie die Anwendung „Firefox“ finden, wählen Sie sie aus und tippen Sie auf die Option „Speicher“.
Tippen Sie auf „DATEN LÖSCHEN“ und bestätigen Sie die Aktion, indem Sie auf „LÖSCHEN“ tippen. Beachten Sie, dass durch das Zurücksetzen des Browsers alle in ihm gespeicherten Daten gelöscht werden. Daher werden alle gespeicherten Anmeldedaten/Passwörter, der Browserverlauf, Nicht-Standardeinstellungen und andere Daten gelöscht werden. Sie müssen sich auch bei allen Webseiten erneut anmelden.
[Zurück zum Inhaltsverzeichnis]
Potenziell unerwünschte und/oder bösartige Anwendungen deinstallieren:
Gehen Sie auf „Einstellungen“, scrollen Sie nach unten, bis Sie „Apps“ sehen und tippen Sie darauf.
Scrollen Sie nach unten, bis Sie eine potenziell unerwünschte und/oder bösartige Anwendung sehen, wählen Sie sie aus und tippen Sie auf „Deinstallieren“. Falls Sie die ausgewählte App aus irgendeinem Grund nicht entfernen können (z.B. wenn Sie von einer Fehlermeldung veranlasst werden), sollten Sie versuchen, den „Abgesicherten Modus“ zu verwenden.
[Zurück zum Inhaltsverzeichnis]
Das Android-Gerät im „Abgesicherten Modus“ starten:
Der „Abgesicherte Modus“ im Android-Betriebssystem deaktiviert vorübergehend die Ausführung aller Anwendungen von Drittanbietern. Die Verwendung dieses Modus ist eine gute Möglichkeit, verschiedene Probleme zu diagnostizieren und zu lösen (z.B. bösartige Anwendungen zu entfernen, die Benutzer daran hindern, dies zu tun, wenn das Gerät „normal“ läuft).
Drücken Sie die „Einschalttaste“ und halten Sie sie gedrückt, bis der Bildschirm „Ausschalten“ angezeigt wird. Tippen Sie auf das Symbol „Ausschalten“ und halten Sie ihn gedrückt. Nach einigen Sekunden wird die Option „Abgesicherter Modus“ angezeigt und Sie können sie durch einen Neustart des Geräts ausführen.
[Zurück zum Inhaltsverzeichnis]
Den Akku-Verbrauch verschiedener Anwendungen überprüfen:
Gehen Sie auf "Einstellungen", scrollen Sie nach unten, bis sie "Gerätewartung" sehen und tippen Sie darauf.
Tippen Sie auf „Akku“ und überprüfen Sie die Verwendung der einzelnen Anwendungen. Seriöse/echte Anwendungen werden entwickelt, um so wenig Energie wie möglich zu verbrauchen, um die beste Benutzererfahrung zu bieten und Strom zu sparen. Daher kann ein hoher Akkuverbrauch darauf hinweisen, dass die Anwendung bösartig ist.
[Zurück zum Inhaltsverzeichnis]
Den Datenverbrauch verschiedener Anwendungen überprüfen:
Gehen Sie auf "Einstellungen", scrollen Sie nach unten, bis Sie "Verbindungen" sehen und tippen Sie darauf.
Scrollen Sie nach unten, bis Sie „Datenverbrauch" sehen, und wählen Sie diese Option aus. Wie beim Akku, werden seriöse/echte Anwendungen so entwickelt, dass der Datenverbrauch so weit wie möglich minimiert wird. Dies bedeutet, dass eine große Datennutzung auf die Präsenz von bösartigen Anwendungen hinweisen könnte. Beachten Sie, dass einige bösartige Anwendungen entwickelt werden könnten, um nur dann zu funktionieren, wenn das Gerät mit einem drahtlosen Netzwerk verbunden ist. Aus diesem Grund sollten Sie sowohl die mobile als auch die WLAN-Datennutzung überprüfen.
Falls Sie eine Anwendung finden, die viele Daten verwendet, obwohl Sie sie nie verwenden, empfehlen wir Ihnen dringend, sie so schnell wie möglich zu deinstallieren.
[Zurück zum Inhaltsverzeichnis]
Die neuesten Software-Updates installieren:
Die Software auf dem neuesten Stand zu halten, ist eine bewährte Vorgehensweise, wenn es um die Gerätesicherheit geht. Die Gerätehersteller veröffentlichen kontinuierlich verschiedene Sicherheits-Patches und Android-Updates, um Fehler und Mängel zu beheben, die von Cyberkriminellen missbraucht werden können. Ein veraltetes System ist viel anfälliger, weshalb Sie immer sicherstellen sollten, dass die Software Ihres Geräts auf dem neuesten Stand ist.
Gehen Sie auf „Einstellungen", scrollen Sie nach unten, bis Sie „Software-Update" sehen und tippen Sie darauf.
Tippen Sie auf „Updates manuell herunterladen“ und prüfen Sie, ob Updates verfügbar sind. Wenn ja, installieren Sie diese sofort. Wir empfehlen auch, die Option „Updates automatisch herunterladen“ zu aktivieren - damit kann das System Sie benachrichtigen, sobald ein Update veröffentlicht wird und/oder es automatisch installieren.
[Zurück zum Inhaltsverzeichnis]
Das System auf Werkseinstellungen zurücksetzen:
Das Ausführen eines „Werkseinstellungen“ ist eine gute Möglichkeit, alle unerwünschten Anwendungen zu entfernen, die Systemeinstellungen auf die Standardeinstellungen zurückzusetzen und das Gerät allgemein zu reinigen. Beachten Sie, dass alle Daten auf dem Gerät gelöscht werden, einschließlich Fotos, Video-/Audiodateien, Telefonnummern (die im Gerät gespeichert sind, nicht auf der SIM-Karte), SMS-Nachrichten und so weiter. D.h. das Gerät wird auf Werkseinstellunjgen zurückgesetzt.
Sie können auch die grundlegenden Systemeinstellungen und/oder schlicht die Netzwerkeinstellungen wiederherstellen.
Gehen Sie auf „Einstellungen", scrollen Sie nach unten, bis Sie „Über das Telefon" sehen und tippen Sie darauf.
Scrollen Sie nach unten, bis Sie „Wiederherstellen" sehen und tippen Sie darauf. Wählen Sie nun die Aktion, die Sie durchführen möchten:
„Einstellungen zurücksetzen" - alle Systemeinstellungen auf die Standardeinstellungen zurücksetzen;
"Netzwerkeinstellungen zurücksetzen" - alle netzwerkbezogenen Einstellungen auf die Standardeinstellungen zurücksetzen;
„Auf Werkszustand zurücksetzen" - setzen Sie das gesamte System zurück und löschen Sie alle gespeicherten Daten vollständig;
[Zurück zum Inhaltsverzeichnis]
Anwendungen mit Administratorrechten deaktivieren:
Falls eine bösartige Anwendung Administratorrechte erhält, kann dies das System ernsthaft beschädigen. Um das Gerät so sicher wie möglich zu halten, sollten Sie immer überprüfen, welche Apps solche Berechtigungen haben und diejenigen deaktivieren, die diese nicht haben sollten.
Gehen Sie auf „Einstellungen", scrollen Sie nach unten, bis Sie „Sperrbildschirm und Sicherheit" sehen und tippen Sie darauf.
Scrollen Sie nach unten, bis Sie "Andere Sicherheitseinstellungen" sehen, tippen Sie auf sie und dann auf "Administratoren-Apps des Geräts".
Identifizieren Sie Anwendungen, die keine Administratorrechte haben sollen, tippen Sie auf sie und dann auf „DEAKTIVIEREN“.
Häufig gestellte Fragen (FAQ)
Mein Gerät ist mit TrickMo Malware infiziert. Sollte ich mein Speichermedium formatieren, um sie loszuwerden?
Das Formatieren Ihres Speichermediums entfernt die TrickMo-Malware, aber es wird empfohlen, eine seriöse Sicherheitssoftware wie Combo Cleaner zu verwenden, um einen gründlichen und sicheren Entfernungsprozess zu gewährleisten. Das Formatieren sollte nur als letzter Ausweg betrachtet werden, da dabei alle Daten auf dem Gerät gelöscht werden.
Was sind die größten Probleme, die Malware verursachen kann?
Malware kann zu Datendiebstahl, finanziellen Einbußen, Systemschäden und Datenverlusten führen und die allgemeine Cybersicherheit gefährden.
Was ist der Zweck von TrickMo Malware?
Der Hauptzweck der TrickMo-Malware besteht darin, Finanzbetrug zu begehen, indem sensible Bankdaten und Anmeldeinformationen von Benutzern gestohlen werden. Dazu gehören Techniken wie Overlay-Angriffe, Diebstahl von Bildschirminhalten und erweiterte Funktionen, um gezielte Anwendungen zu kompromittieren und wertvolle Finanzdaten für illegale Aktivitäten zu sammeln.
Wie hat TrickMo mein Gerät infiltriert?
Die spezifische Methode der TrickMo-Infiltration kann variieren, aber zu den üblichen Wegen gehören E-Mails, Nachrichten (SMS), bösartige Webseiten, Social-Media-Plattformen, App-Stores von Drittanbietern oder die Ausnutzung von Sicherheitslücken in Software.
Wird Combo Cleaner mich vor Malware schützen?
Combo Cleaner ist ein seriöses Antiviren- und Sicherheitswerkzeug zum Schutz vor verschiedenen Arten von Malware, einschließlich Viren, Adware und Ransomware. Es scannt Ihr Gerät und entfernt Malware. Es ist ratsam, einen vollständigen Systemscan durchzuführen, um Malware zu erkennen, die sich möglicherweise tief im System versteckt.
Ausgezeichnet!
▼ Diskussion einblenden