So entfernen Sie BankBot von kompromittierten Geräten

Was ist BankBot RAT?

BankBot ist eine Android-RAT, die die vollständige Kontrolle über infizierte Geräte übernimmt. Sie nutzt Barrierefreiheitsdienste aus, um verschiedene Berechtigungen zu erhalten, die Benutzeroberfläche des Geräts zu automatisieren, sensible Daten zu stehlen und unbefugte Vorgänge auszuführen. Wenn ein Gerät mit BankBot infiziert ist, sollte die Malware sofort entfernt werden.

BankBot RAT in detail

BankBot erkennt, ob es in einem Emulator oder einer Sandbox ausgeführt wird, um eine Analyse zu vermeiden. Es überprüft die Marke, das Modell und den ROM-Speicher des Geräts und passt sein Verhalten entsprechend an, sodass es bestimmte Geräte gezielt angreifen oder überspringen kann. Durch diese Überprüfungen kann BankBot nur auf ausgewählten echten Geräten ausgeführt werden und bleibt vor automatisierten Analysen verborgen.

Außerdem sammelt die Malware Geräteinformationen wie Android-Version, Betriebssystemversion, Marke, Modell, Hersteller, Hardware-ID, Build-ID und Produktname. Diese Informationen werden protokolliert, um Profile zu erstellen, bestimmte Geräte anzusprechen und die Ausführung auf nicht unterstützten Geräten zu vermeiden.

Darüber hinaus schaltet BankBot das Telefon stumm, damit die Opfer keine Benachrichtigungen hören. Wenn die Malware aktiv ist, nutzt sie Systemsteuerungen, um Musik, Klingeltöne und Benachrichtigungen stummzuschalten. Dadurch werden Töne für Anrufe, Nachrichten und andere Benachrichtigungen unterdrückt, sodass der Benutzer die böswillige Aktivität nicht bemerkt.

BankBot kann einen Befehl zum Öffnen der Eingabehilfen-Einstellungen des Geräts senden und so den Benutzer dazu verleiten, seinen Eingabehilfen-Dienst zu aktivieren. Dadurch erhält er zusätzliche Berechtigungen, um das Gerät zu steuern und Aktionen automatisch auszuführen. Dies funktioniert auf Android bis Version 13, aber Android 14 blockiert diese Art der Umgehung von Berechtigungen.

Außerdem sorgt die Malware durch die Planung einer Aufgabe für Persistenz. Diese wird etwa alle 30 Sekunden ausgeführt, erfordert eine Netzwerkverbindung und ist so eingestellt, dass sie auch nach einem Neustart des Geräts bestehen bleibt, sodass die Malware kontinuierlich arbeiten kann.

Fernzugriffsfunktionen

BankBot kann Barrierefreiheitsdienste aktivieren und deaktivieren und Geräteadministratorrechte erhalten. Sobald es beispielsweise die Barrierefreiheitsberechtigung erhalten hat, kann es eine gefälschte „Überprüfung persönlicher Daten” im Vollbildmodus anzeigen, um das Opfer abzulenken. Während das Opfer abgelenkt ist, aktiviert es stillschweigend die erforderlichen Berechtigungen, startet seine Dienste und fügt sich selbst als Geräteadministrator hinzu.

Außerdem kann die Malware APKs installieren oder deinstallieren, Bildschirme aktualisieren, Apps öffnen, Anrufweiterleitungen einrichten oder aufheben und SMS versenden. Sie kann auch Kontakte, SMS, die Liste der installierten Apps, den Gerätestatus und den Standort stehlen sowie den Bildschirm entsperren und Klicks und Wischgesten simulieren.

Darüber hinaus kann BankBot den Bildschirm ein- und ausschalten, Dateien herunterladen, Fotos (und Screenshots) aufnehmen, Fenster ausblenden und Text in Eingabefelder eingeben. Auf diese Weise kann die Malware das Gerät vollständig kontrollieren, den Benutzer ausspionieren und die Benutzeroberfläche manipulieren.

Darüber hinaus kann die Malware die Android-Zwischenablage auslesen und sensible Daten wie Passwörter, Kryptoschlüssel und andere persönliche Informationen erfassen. Sie zielt auch auf Krypto-Wallets ab, indem sie Android Accessibility nutzt, um Wallet-Apps zu öffnen, die Benutzeroberfläche zu automatisieren und Daten (wie Seed-Phrasen, private Schlüssel oder Transaktionsdetails) auszulesen.

Zu den betroffenen Kryptowährungen und Wallets gehören AUTOS, Bitcoin, BitKeep, Blockchain Wallet, Coin98 Super Wallet, Coinomi, Exodus, imToken, Krystal, MetaMask, MeWallet, SafePal, Status (Ethereum Crypto Wallet), TokenPocket, Trust Wallet und Valor.

Es ist wichtig zu beachten, dass BankBot sich als Google News tarnen kann, indem es seinen Namen und sein Symbol ändert und dann news.google.com in einem WebView lädt, um die Opfer glauben zu machen, es handele sich um die echte App, wodurch ihr Misstrauen verringert wird, während die Malware böswillige Aktivitäten ausführt.

Außerdem kommuniziert die Malware mit ihrem Server, um eine Liste von Apps zu erhalten, die für Diebstahl oder Betrug ins Visier genommen werden sollen. Bei all diesen Apps handelt es sich in erster Linie um Finanz- oder Banking-Apps, darunter Geldtransfer-Apps, Mobile-Banking-Apps, digitale Geldbörsen und einige Browser. Auf diese Weise kann die Malware Daten und Anmeldedaten identifizieren und möglicherweise stehlen oder Aktionen in diesen Apps auf dem infizierten Gerät ausführen.

Schlussfolgerung

BankBot ist eine heimliche Android-Malware, die sich Zugriffsrechte missbraucht, Geräte überprüft und persistente Aufgaben nutzt, um vollständige Kontrolle zu erlangen, Daten (auch aus Banking- und Krypto-Apps) zu stehlen und Finanzbetrug aus der Ferne zu begehen. Sie kann sich als vertrauenswürdige App tarnen und das Gerät stumm schalten, um einer Entdeckung zu entgehen.

Diese Malware kann Probleme wie Kontoübergriffe, Identitätsdiebstahl, finanzielle Verluste und andere Probleme verursachen. Wenn ein Gerät kompromittiert wurde, sollte es daher sofort mit einem zuverlässigen Sicherheitstool gescannt werden. Einige Beispiele für andere Android-Malware sind GhostGrab, Herodotus und ClayRat.

Wie hat sich BankBot RAT auf mein Gerät eingeschleust?

BankBot wird als sideloaded APK von Websites geliefert, die von Angreifern kontrolliert werden. Malware kann auch über gefälschte Apps in App-Stores von Drittanbietern, bösartige Werbung, gefälschte Werbung und Pop-ups auf dubiosen Websites, Links in betrügerischen Nachrichten (oder E-Mails) und ähnliche Kanäle in Systeme gelangen.

Im Allgemeinen nutzen Cyberkriminelle Social Engineering oder ähnliche Techniken, um Nutzer dazu zu verleiten, Malware auf ihre Geräte herunterzuladen und dort auszuführen.

Wie kann man die Installation von Malware vermeiden?

Laden Sie Apps nur aus vertrauenswürdigen Quellen wie dem Google Play Store oder offiziellen Websites herunter und überprüfen Sie Bewertungen und Rezensionen. Klicken Sie nicht auf Links in verdächtigen E-Mails, SMS oder Social-Media-Nachrichten. Vermeiden Sie außerdem die Interaktion mit Anzeigen, Links, Pop-ups usw. auf fragwürdigen Webseiten.

Aktualisieren Sie Ihr Betriebssystem und Ihre Anwendungen regelmäßig und verwenden Sie Google Play Protect zusammen mit einer seriösen Sicherheits-App.

Ein gefälschter Bildschirm, der von der Malware angezeigt wird, während sie im Hintergrund Berechtigungen aktiviert:

Schnellmenü:

• Einleitung
• Wie kann man den Browserverlauf aus dem Chrome-Webbrowser löschen?
• Wie deaktiviert man Browser-Benachrichtigungen im Chrome-Webbrowser?
• Wie setzt man den Chrome-Webbrowser zurück?
• Wie löscht man den Browserverlauf aus dem Firefox-Webbrowser?
• Wie deaktiviert man Browser-Benachrichtigungen im Firefox-Webbrowser?
• Wie setzt man den Firefox-Webbrowser zurück?
• Wie kann man potenziell unerwünschte und/oder bösartige Anwendungen deinstallieren?
• Wie starte ich das Android-Gerät im „abgesicherten Modus“?
• Wie kann man den Batterieverbrauch verschiedener Anwendungen überprüfen?
• Wie kann man den Datenverbrauch verschiedener Anwendungen überprüfen?
• Wie installiere ich die neuesten Software-Updates?
• Wie kann man das System auf den Standardzustand zurücksetzen?
• Wie kann man Anwendungen mit Administratorrechten deaktivieren?

Löschen Sie den Browserverlauf aus dem Chrome-Webbrowser:

Tippen Sie auf die Schaltfläche „Menü“ (drei Punkte in der rechten oberen Ecke des Bildschirms) und wählen Sie im sich öffnenden Dropdown-Menü „Verlauf“ aus.

Tippen Sie auf „Browsingdaten löschen“, wählen Sie die Registerkarte „ERWEITERT“, wählen Sie den Zeitbereich und die Datentypen, die Sie löschen möchten, und tippen Sie auf „Daten löschen“.

[Zurück zum Inhaltsverzeichnis]

Deaktivieren Sie Browser-Benachrichtigungen im Chrome-Webbrowser:

Tippen Sie auf die Schaltfläche „Menü“ (drei Punkte in der oberen rechten Ecke des Bildschirms) und wählen Sie „Einstellungen“ im sich öffnenden Dropdown-Menü.

Scrollen Sie nach unten, bis Sie die Option „Website-Einstellungen“ sehen, und tippen Sie darauf. Scrollen Sie nach unten, bis Sie die Option „Benachrichtigungen“ sehen, und tippen Sie darauf.

Suchen Sie die Websites, die Browser-Benachrichtigungen senden, tippen Sie darauf und klicken Sie auf „Löschen & zurücksetzen“. Dadurch werden die Berechtigungen für diese Websites zum Senden von Benachrichtigungen entfernt. Wenn Sie jedoch dieselbe Website erneut besuchen, wird möglicherweise erneut um eine Berechtigung gebeten. Sie können wählen, ob Sie diese Berechtigungen erteilen möchten oder nicht (wenn Sie sich dagegen entscheiden, wird die Website in den Bereich „Blockiert“ verschoben und fragt Sie nicht mehr nach der Berechtigung).

[Zurück zum Inhaltsverzeichnis]

Chrome-Webbrowser zurücksetzen:

Gehen Sie zu „Einstellungen“, scrollen Sie nach unten, bis Sie „Apps“ sehen, und tippen Sie darauf.

Scrollen Sie nach unten, bis Sie die Anwendung „Chrome“ finden, wählen Sie sie aus und tippen Sie auf die Option „Speicher“.

Tippen Sie auf „SPEICHER VERWALTEN“, dann auf „ALLE DATEN LÖSCHEN“ und bestätigen Sie die Aktion durch Tippen auf „OK“. Beachten Sie, dass durch das Zurücksetzen des Browsers alle darin gespeicherten Daten gelöscht werden. Das bedeutet, dass alle gespeicherten Anmeldedaten/Passwörter, der Browserverlauf, nicht standardmäßige Einstellungen und andere Daten gelöscht werden. Außerdem müssen Sie sich erneut bei allen Websites anmelden.

[Zurück zum Inhaltsverzeichnis]

Löschen Sie den Browserverlauf aus dem Firefox-Webbrowser:

Tippen Sie auf die Schaltfläche „Menü“ (drei Punkte in der rechten oberen Ecke des Bildschirms) und wählen Sie „Verlauf“ im sich öffnenden Dropdown-Menü.

Scrollen Sie nach unten, bis Sie „Private Daten löschen“ sehen, und tippen Sie darauf. Wählen Sie die Datentypen aus, die Sie entfernen möchten, und tippen Sie auf „DATEN LÖSCHEN“.

[Zurück zum Inhaltsverzeichnis]

Deaktivieren Sie Browser-Benachrichtigungen im Firefox-Webbrowser:

Besuchen Sie die Website, die Browser-Benachrichtigungen sendet, tippen Sie auf das Symbol links neben der URL-Leiste (das Symbol muss nicht unbedingt „Sperren” lauten) und wählen Sie „Website-Einstellungen bearbeiten”.

Wählen Sie im geöffneten Pop-up-Fenster die Option „Benachrichtigungen“ und tippen Sie auf „LÖSCHEN“.

[Zurück zum Inhaltsverzeichnis]

Den Firefox-Webbrowser zurücksetzen:

Gehen Sie zu „Einstellungen“, scrollen Sie nach unten, bis Sie „Apps“ sehen, und tippen Sie darauf.

Scrollen Sie nach unten, bis Sie die Anwendung „Firefox“ finden, wählen Sie sie aus und tippen Sie auf die Option „Speicher“.

Tippen Sie auf „DATEN LÖSCHEN“ und bestätigen Sie den Vorgang durch Tippen auf „LÖSCHEN“. Beachten Sie, dass durch das Zurücksetzen des Browsers alle darin gespeicherten Daten gelöscht werden. Das bedeutet, dass alle gespeicherten Anmeldedaten/Passwörter, der Browserverlauf, nicht standardmäßige Einstellungen und andere Daten gelöscht werden. Außerdem müssen Sie sich erneut bei allen Websites anmelden.

[Zurück zum Inhaltsverzeichnis]

Deinstallieren Sie potenziell unerwünschte und/oder bösartige Anwendungen:

Gehen Sie zu „Einstellungen“, scrollen Sie nach unten, bis Sie „Apps“ sehen, und tippen Sie darauf.

Scrollen Sie nach unten, bis Sie eine potenziell unerwünschte und/oder schädliche Anwendung sehen, wählen Sie diese aus und tippen Sie auf „Deinstallieren“. Wenn Sie die ausgewählte App aus irgendeinem Grund nicht entfernen können (z. B. wenn eine Fehlermeldung angezeigt wird), sollten Sie den „abgesicherten Modus“ verwenden.

[Zurück zum Inhaltsverzeichnis]

Starten Sie das Android-Gerät im „abgesicherten Modus“:

Der „abgesicherte Modus” im Android-Betriebssystem deaktiviert vorübergehend die Ausführung aller Anwendungen von Drittanbietern. Die Verwendung dieses Modus ist eine gute Möglichkeit, verschiedene Probleme zu diagnostizieren und zu beheben (z. B. das Entfernen bösartiger Anwendungen, die Sie daran hindern, dies zu tun, wenn das Gerät „normal” läuft).

Drücken Sie die Taste „Power“ und halten Sie sie gedrückt, bis der Bildschirm „Power off“ angezeigt wird. Tippen Sie auf das Symbol „Ausschalten“ und halten Sie es gedrückt. Nach einigen Sekunden erscheint die Option „Abgesicherter Modus“, die Sie durch einen Neustart des Geräts ausführen können.

[Zurück zum Inhaltsverzeichnis]

Überprüfen Sie den Batterieverbrauch verschiedener Anwendungen:

Gehen Sie zu „Einstellungen“, scrollen Sie nach unten, bis Sie „Gerätewartung“ sehen, und tippen Sie darauf.

Tippen Sie auf „Akku“ und überprüfen Sie den Verbrauch der einzelnen Anwendungen. Seriöse/echte Anwendungen sind so konzipiert, dass sie so wenig Energie wie möglich verbrauchen, um die bestmögliche Benutzererfahrung zu bieten und Strom zu sparen. Ein hoher Akkuverbrauch kann daher darauf hindeuten, dass es sich um eine schädliche Anwendung handelt.

[Zurück zum Inhaltsverzeichnis]

Überprüfen Sie die Datennutzung verschiedener Anwendungen:

Gehen Sie zu „Einstellungen“, scrollen Sie nach unten, bis Sie „Verbindungen“ sehen, und tippen Sie darauf.

Scrollen Sie nach unten, bis Sie „Datennutzung“ sehen, und wählen Sie diese Option aus. Wie beim Akku sind legitime/echte Anwendungen so konzipiert, dass sie die Datennutzung so weit wie möglich minimieren. Das bedeutet, dass eine hohe Datennutzung auf das Vorhandensein einer bösartigen Anwendung hindeuten kann. Beachten Sie, dass einige bösartige Anwendungen möglicherweise so konzipiert sind, dass sie nur funktionieren, wenn das Gerät mit einem drahtlosen Netzwerk verbunden ist. Aus diesem Grund sollten Sie sowohl die mobile als auch die WLAN-Datennutzung überprüfen.

Wenn Sie eine Anwendung finden, die viel Datenvolumen verbraucht, obwohl Sie sie nie nutzen, empfehlen wir Ihnen dringend, sie so schnell wie möglich zu deinstallieren.

[Zurück zum Inhaltsverzeichnis]

Installieren Sie die neuesten Software-Updates:

Die Software auf dem neuesten Stand zu halten, ist eine bewährte Vorgehensweise, wenn es um die Sicherheit von Geräten geht. Die Gerätehersteller veröffentlichen kontinuierlich verschiedene Sicherheitspatches und Android-Updates, um Fehler und Bugs zu beheben, die von Cyberkriminellen ausgenutzt werden können. Ein veraltetes System ist wesentlich anfälliger, weshalb Sie immer sicherstellen sollten, dass die Software Ihres Geräts auf dem neuesten Stand ist.

Gehen Sie zu „Einstellungen“, scrollen Sie nach unten, bis Sie „Software-Update“ sehen, und tippen Sie darauf.

Tippen Sie auf „Updates manuell herunterladen” und überprüfen Sie, ob Updates verfügbar sind. Wenn ja, installieren Sie diese sofort. Wir empfehlen außerdem, die Option „Updates automatisch herunterladen” zu aktivieren. Damit wird das System Sie benachrichtigen, sobald ein Update verfügbar ist, und/oder dieses automatisch installieren.

[Zurück zum Inhaltsverzeichnis]

Das System auf den Standardzustand zurücksetzen:

Das Durchführen eines „Zurücksetzen auf Werkseinstellungen” ist eine gute Möglichkeit, alle unerwünschten Anwendungen zu entfernen, die Systemeinstellungen auf die Standardeinstellungen zurückzusetzen und das Gerät insgesamt zu bereinigen. Sie müssen jedoch bedenken, dass alle Daten auf dem Gerät gelöscht werden, einschließlich Fotos, Video-/Audiodateien, Telefonnummern (die auf dem Gerät gespeichert sind, nicht auf der SIM-Karte), SMS-Nachrichten usw. Mit anderen Worten: Das Gerät wird in seinen ursprünglichen Zustand zurückversetzt.

Sie können auch die grundlegenden Systemeinstellungen und/oder einfach nur die Netzwerkeinstellungen wiederherstellen.

Gehen Sie zu „Einstellungen“, scrollen Sie nach unten, bis Sie „Über das Telefon“ sehen, und tippen Sie darauf.

Scrollen Sie nach unten, bis Sie „Zurücksetzen“ sehen, und tippen Sie darauf. Wählen Sie nun die Aktion aus, die Sie ausführen möchten:
„ Einstellungen zurücksetzen“ – alle Systemeinstellungen auf die Standardeinstellungen zurücksetzen;
„Netzwerkeinstellungen zurücksetzen“ – alle netzwerkbezogenen Einstellungen auf die Standardeinstellungen zurücksetzen;
„Auf Werkseinstellungen zurücksetzen“ – das gesamte System zurücksetzen und alle gespeicherten Daten vollständig löschen;

[Zurück zum Inhaltsverzeichnis]

Deaktivieren Sie Anwendungen, die über Administratorrechte verfügen:

Wenn eine bösartige Anwendung Administratorrechte erhält, kann sie das System ernsthaft beschädigen. Um das Gerät so sicher wie möglich zu halten, sollten Sie immer überprüfen, welche Apps über solche Rechte verfügen, und diejenigen deaktivieren, die diese Rechte nicht haben sollten.

Gehen Sie zu „Einstellungen“, scrollen Sie nach unten, bis Sie „Bildschirmsperre und Sicherheit“ sehen, und tippen Sie darauf.

Scrollen Sie nach unten, bis Sie „Weitere Sicherheitseinstellungen“ sehen, tippen Sie darauf und anschließend auf „Geräteadministrator-Apps“.

Identifizieren Sie Anwendungen, die keine Administratorrechte haben sollten, tippen Sie darauf und anschließend auf „DEAKTIVIEREN“.

Häufig gestellte Fragen (FAQ)

Mein Gerät ist mit der Malware BankBot infiziert. Sollte ich mein Speichergerät formatieren, um sie zu entfernen?

Durch das Formatieren des Geräts wird BankBot entfernt, aber auch alle gespeicherten Informationen gelöscht. Alternativ können Sie das Gerät mit einer zuverlässigen Antiviren-App wie Combo Cleaner scannen, ohne drastische Maßnahmen ergreifen zu müssen.

Was sind die größten Probleme, die Malware verursachen kann?

Malware kann Dateien verschlüsseln, zusätzliche schädliche Tools installieren, Angreifern Fernzugriff gewähren, persönliche Daten stehlen, Systeme beschädigen und letztendlich Identitätsdiebstahl, finanzielle Verluste, Datenverluste und andere Probleme verursachen.

Was ist der Zweck von BankBot?

Der Zweck von BankBot besteht darin, die vollständige Kontrolle über infizierte Android-Geräte zu erlangen, um sensible Informationen wie Bankdaten, Kryptowährungsschlüssel, Kontakte, SMS und Gerätedaten zu stehlen und unbefugte Aktionen durchzuführen, darunter Finanzbetrug, Kontoübernahmen und die Fernsteuerung von Apps und dem Gerät selbst.

Wie hat sich BankBot auf mein Gerät eingeschleust?

Malware verbreitet sich hauptsächlich über APKs, die von Angreifern kontrollierten Websites heruntergeladen werden, gefälschte Apps in Drittanbieter-Stores, bösartige Werbeanzeigen und Links in betrügerischen Nachrichten.

Schützt mich Combo Cleaner vor Malware?

Combo Cleaner kann die meisten bekannten Malware-Programme erkennen und entfernen, aber fortgeschrittene Bedrohungen können sich tief im System verstecken. Daher sollten Benutzer einen vollständigen Gerätescan durchführen, um Malware zu entfernen, ohne dass Komponenten davon im System zurückbleiben.