So entfernen Sie Glitch SPY von Android-Geräten

Um welche Art von Malware handelt es sich bei Glitch SPY?

Glitch SPY ist ein Android-Remote Access Trojan (RAT), der in der Lage ist, über 70 Befehle auf infizierten Geräten auszuführen. Er wurde von Cyble Research and Intelligence Labs analysiert und wird über eine betrügerische polnische Wohnungsvermietungsplattform verbreitet, die Benutzer dazu verleitet, eine schädliche APK per Sideload zu installieren. Nach der Installation verschafft Glitch SPY den Angreifern umfassende Kontrolle über das Gerät des Opfers und ermöglicht alles von Echtzeitüberwachung bis hin zu Finanzdiebstahl.

Überblick über die Glitch SPY RAT-Malware

Glitch SPY wird über eine betrügerische Website (tutaj-dompl[.]com) verbreitet, die sich als legitimer polnischer Wohnungsvermietungsdienst ausgibt. Besucher werden dazu verleitet, eine vermeintliche mobile App herunterzuladen, doch der Link führt zu einer bösartigen APK anstelle einer echten Anwendung.

Die heruntergeladene Datei ist nicht Glitch SPY selbst, sondern ein Dropper namens Brokewell Android Loader. Er zeigt einen gefälschten Update-Bildschirm an und überredet den Benutzer, die Installation aus unbekannten Quellen zu aktivieren, um dann im Hintergrund unbemerkt die Glitch SPY-Payload einzuschleusen.

Nach der Installation nutzt Glitch SPY die Bedienungshilfen (Accessibility Services) von Android aus, um tiefgreifende Kontrolle auf Systemebene zu erlangen. Dies ermöglicht der Malware, Berechtigungserteilungen zu automatisieren, mit der Geräteoberfläche zu interagieren und Aktionen ohne weiteres Zutun des Opfers auszuführen.

Der RAT unterstützt über 70 Befehle und zählt damit zu den leistungsfähigeren Android-Bedrohungen. Zu den Überwachungsfunktionen gehören Live-Bildschirmübertragung, das Erfassen von Screenshots, Keylogging und das Extrahieren von Text durch Bildschirmleser. Kamera und Mikrofon können außerdem aus der Ferne zur Audio- und Videoüberwachung aktiviert werden.

Die Fähigkeiten zum Datendiebstahl sind umfangreich. Glitch SPY sammelt SMS-Nachrichten, Kontakte, Anrufprotokolle, Gerätekontodaten, GPS-Standort und eine Liste installierter Anwendungen. Auch der Inhalt der Zwischenablage wird überwacht und fließt direkt in die Crypto-Clipping-Funktion der Malware ein.

Der Crypto-Clipper ersetzt unbemerkt Kryptowährungs-Wallet-Adressen durch von Angreifern kontrollierte Adressen über mehrere Blockchain-Formate hinweg. Jede Zahlung, die das Opfer zu senden versucht, geht an den Kriminellen statt an den vorgesehenen Empfänger.

Glitch SPY enthält außerdem einen versteckten Browser - eine Komponente außerhalb des Bildschirms, die in der Lage ist, webbasierte Kontoübernahmen vom eigenen Gerät und der IP-Adresse des Opfers aus durchzuführen. Da die Anfragen vom Telefon des Opfers ausgehen, ist es unwahrscheinlicher, dass Betrugserkennungssysteme, die unbekannte Geräte oder Standorte kennzeichnen, die Aktivität erfassen.

Dateioperationen runden das Werkzeugarsenal der Malware ab. Glitch SPY kann Dateien auf dem Gerät verwalten, hochladen und ausführen sowie Daten mittels AES/GCM-Verschlüsselung ver- oder entschlüsseln. Die gesamte Command-and-Control-Kommunikation läuft über persistente WebSocket-Verbindungen zu zwei bekannten Servern.

Die unterstützende Infrastruktur umfasst ein Admin-Panel mit Modulen zum Erstellen neuer Payloads, zum Verwalten infizierter Geräte, zum Ausführen eines Cryptors und zum Konfigurieren von Kampagnen. Dies deutet darauf hin, dass Glitch SPY als Multi-Kampagnen-Plattform und nicht als Einzweckwerkzeug konzipiert ist.

Es ist erwähnenswert, dass Malware-Entwickler ihre Software regelmäßig aktualisieren und verbessern, sodass zukünftige Versionen von Glitch SPY zusätzliche oder andere Fähigkeiten aufweisen könnten. Zusammenfassend lässt sich sagen, dass dieser RAT auf einem Gerät zu schwerwiegenden Datenschutzverletzungen, finanziellen Verlusten, Kontoübernahmen und Identitätsdiebstahl führen kann.

Beispiele für Android-spezifische Remote-Access-Trojaner

Glitch SPY ist ein bemerkenswert fortschrittlicher RAT, der eine Dropper-basierte Verbreitungskette, umfangreichen Missbrauch der Bedienungshilfen und einen versteckten Browser für heimliche Kontoübernahmen kombiniert. Dennoch teilt er dasselbe grundlegende Bedrohungsmodell wie viele Android-RATs, deren Hauptziele Überwachung und Finanzbetrug sind.

Beispiele für ähnliche, auf Android abzielende Remote-Access-Trojaner sind BTMOB, Mirax und SURXRAT. Alle diese Bedrohungen können ernsthaften Schaden anrichten, und eine umgehende Entfernung mit einem vertrauenswürdigen Sicherheitstool wird dringend empfohlen.

Wie ist die Glitch SPY RAT-Malware in mein Gerät eingedrungen?

Glitch SPY erreicht Opfer über eine gefälschte polnische Wohnungsvermietungsseite (tutaj-dompl[.]com). Die Seite gibt sich als legitime Immobilienplattform aus und bewirbt einen App-Download für Mobilgeräte, doch die bereitgestellte Datei ist eine bösartige APK, keine echte Anwendung.

Diese APK enthält den Brokewell Android Loader, einen Dropper, der einen überzeugenden gefälschten Update-Bildschirm anzeigt. Er fordert die Erlaubnis an, Apps aus unbekannten Quellen zu installieren, und sobald diese erteilt wurde, liefert er im Hintergrund unbemerkt die Glitch SPY-Payload aus.

Nach der Installation fordert die gefälschte App Zugriff auf die Bedienungshilfen (Accessibility Services) von Android an. Die Erteilung dieser Berechtigung übergibt der Malware tiefgreifende Gerätekontrolle und schließt die Infektion ab.

Allgemeiner betrachtet verbreitet sich Android-Malware auch über Phishing-Kampagnen, inoffizielle App-Stores und gefälschte Software-Update-Aufforderungen. Jede Anwendung, die außerhalb offizieller Kanäle bezogen wird, birgt ein erhöhtes Risiko.

Wie kann man die Installation von Malware vermeiden?

Laden Sie Apps ausschließlich aus dem offiziellen Google Play Store oder von verifizierten Entwicklerseiten herunter. Die Einstellung „Installation aus unbekannten Quellen" sollte in fast allen Situationen deaktiviert bleiben - sie ist das primäre Einfallstor, das Bedrohungen wie Glitch SPY nutzen, um die integrierten Sicherheitsvorkehrungen von Android zu umgehen.

Überprüfen Sie vor der Installation einer App deren Berechtigungen und lesen Sie Nutzerbewertungen. Seien Sie vorsichtig bei Immobilienplattformen, Banking-Apps oder anderen Finanzdiensten, die über Werbung oder unaufgeforderte Links beworben werden. Android und alle installierten Apps auf dem neuesten Stand zu halten, kombiniert mit einem seriösen mobilen Sicherheitstool, verringert die Infektionswahrscheinlichkeit erheblich.

Screenshots des Verbreitungs- und Installationsprozesses der Glitch SPY RAT-Malware (Quelle: cyble.com):

Screenshot der gefälschten Tutaj Dompl-Website, die zur Verbreitung von Glitch SPY verwendet wird:

Screenshot des Web-Admin-Panels der Glitch SPY RAT:

Schnellmenü:

• Einführung
• Wie löscht man den Browserverlauf im Chrome-Webbrowser?
• Wie deaktiviert man Browserbenachrichtigungen im Chrome-Webbrowser?
• Wie setzt man den Chrome-Webbrowser zurück?
• Wie löscht man den Browserverlauf im Firefox-Webbrowser?
• Wie deaktiviert man Browserbenachrichtigungen im Firefox-Webbrowser?
• Wie setzt man den Firefox-Webbrowser zurück?
• Wie deinstalliert man potenziell unerwünschte und/oder bösartige Anwendungen?
• Wie startet man das Android-Gerät im „abgesicherten Modus"?
• Wie überprüft man den Batterieverbrauch verschiedener Anwendungen?
• Wie überprüft man den Datenverbrauch verschiedener Anwendungen?
• Wie installiert man die neuesten Software-Updates?
• Wie setzt man das System auf seinen Standardzustand zurück?
• Wie deaktiviert man Anwendungen mit Administratorrechten?

Browserverlauf im Chrome-Webbrowser löschen:

Tippen Sie auf die Schaltfläche „Menü" (drei Punkte in der oberen rechten Ecke des Bildschirms) und wählen Sie im geöffneten Dropdown-Menü „Verlauf".

Tippen Sie auf „Browserdaten löschen", wählen Sie die Registerkarte „ERWEITERT", wählen Sie den Zeitraum und die Datentypen, die Sie löschen möchten, und tippen Sie auf „Daten löschen".

[Zurück zum Inhaltsverzeichnis]

Browserbenachrichtigungen im Chrome-Webbrowser deaktivieren:

Tippen Sie auf die Schaltfläche „Menü" (drei Punkte in der oberen rechten Ecke des Bildschirms) und wählen Sie im geöffneten Dropdown-Menü „Einstellungen".

Scrollen Sie nach unten, bis Sie die Option „Website-Einstellungen" sehen, und tippen Sie darauf. Scrollen Sie nach unten, bis Sie die Option „Benachrichtigungen" sehen, und tippen Sie darauf.

Suchen Sie die Websites, die Browserbenachrichtigungen zustellen, tippen Sie darauf und klicken Sie auf „Löschen & zurücksetzen". Dadurch werden die für diese Websites erteilten Berechtigungen zur Zustellung von Benachrichtigungen entfernt. Wenn Sie dieselbe Website jedoch erneut besuchen, kann sie erneut um eine Berechtigung bitten. Sie können entscheiden, ob Sie diese Berechtigungen erteilen möchten oder nicht (wenn Sie ablehnen, wird die Website in den Bereich „Blockiert" verschoben und wird Sie nicht mehr um die Berechtigung bitten).

[Zurück zum Inhaltsverzeichnis]

Chrome-Webbrowser zurücksetzen:

Gehen Sie zu „Einstellungen", scrollen Sie nach unten, bis Sie „Apps" sehen, und tippen Sie darauf.

Scrollen Sie nach unten, bis Sie die Anwendung „Chrome" finden, wählen Sie sie aus und tippen Sie auf die Option „Speicher".

Tippen Sie auf „SPEICHER VERWALTEN", dann auf „ALLE DATEN LÖSCHEN" und bestätigen Sie die Aktion, indem Sie auf „OK" tippen. Beachten Sie, dass durch das Zurücksetzen des Browsers alle darin gespeicherten Daten entfernt werden. Das bedeutet, dass alle gespeicherten Logins/Passwörter, der Browserverlauf, nicht standardmäßige Einstellungen und andere Daten gelöscht werden. Außerdem müssen Sie sich bei allen Websites erneut anmelden.

[Zurück zum Inhaltsverzeichnis]

Browserverlauf im Firefox-Webbrowser löschen:

Tippen Sie auf die Schaltfläche „Menü" (drei Punkte in der oberen rechten Ecke des Bildschirms) und wählen Sie im geöffneten Dropdown-Menü „Verlauf".

Scrollen Sie nach unten, bis Sie „Private Daten löschen" sehen, und tippen Sie darauf. Wählen Sie die Datentypen, die Sie entfernen möchten, und tippen Sie auf „DATEN LÖSCHEN".

[Zurück zum Inhaltsverzeichnis]

Browserbenachrichtigungen im Firefox-Webbrowser deaktivieren:

Besuchen Sie die Website, die Browserbenachrichtigungen zustellt, tippen Sie auf das links neben der URL-Leiste angezeigte Symbol (das Symbol muss nicht unbedingt ein „Schloss" sein) und wählen Sie „Website-Einstellungen bearbeiten".

Wählen Sie im geöffneten Pop-up die Option „Benachrichtigungen" aus und tippen Sie auf „LÖSCHEN".

[Zurück zum Inhaltsverzeichnis]

Firefox-Webbrowser zurücksetzen:

Gehen Sie zu „Einstellungen", scrollen Sie nach unten, bis Sie „Apps" sehen, und tippen Sie darauf.

Scrollen Sie nach unten, bis Sie die Anwendung „Firefox" finden, wählen Sie sie aus und tippen Sie auf die Option „Speicher".

Tippen Sie auf „DATEN LÖSCHEN" und bestätigen Sie die Aktion, indem Sie auf „LÖSCHEN" tippen. Beachten Sie, dass durch das Zurücksetzen des Browsers alle darin gespeicherten Daten entfernt werden. Das bedeutet, dass alle gespeicherten Logins/Passwörter, der Browserverlauf, nicht standardmäßige Einstellungen und andere Daten gelöscht werden. Außerdem müssen Sie sich bei allen Websites erneut anmelden.

[Zurück zum Inhaltsverzeichnis]

Potenziell unerwünschte und/oder bösartige Anwendungen deinstallieren:

Gehen Sie zu „Einstellungen", scrollen Sie nach unten, bis Sie „Apps" sehen, und tippen Sie darauf.

Scrollen Sie nach unten, bis Sie eine potenziell unerwünschte und/oder bösartige Anwendung sehen, wählen Sie sie aus und tippen Sie auf „Deinstallieren". Wenn Sie aus irgendeinem Grund die ausgewählte App nicht entfernen können (z. B. wenn eine Fehlermeldung angezeigt wird), sollten Sie den „abgesicherten Modus" verwenden.

[Zurück zum Inhaltsverzeichnis]

Das Android-Gerät im „abgesicherten Modus" starten:

Der „abgesicherte Modus" im Android-Betriebssystem deaktiviert vorübergehend die Ausführung aller Drittanbieteranwendungen. Die Verwendung dieses Modus ist eine gute Möglichkeit, verschiedene Probleme zu diagnostizieren und zu lösen (z. B. bösartige Anwendungen zu entfernen, die dies verhindern, wenn das Gerät „normal" läuft).

Drücken Sie die „Ein/Aus"-Taste und halten Sie sie gedrückt, bis Sie den Bildschirm „Ausschalten" sehen. Tippen Sie auf das Symbol „Ausschalten" und halten Sie es gedrückt. Nach einigen Sekunden erscheint die Option „abgesicherter Modus", und Sie können ihn durch einen Neustart des Geräts ausführen.

[Zurück zum Inhaltsverzeichnis]

Den Batterieverbrauch verschiedener Anwendungen überprüfen:

Gehen Sie zu „Einstellungen", scrollen Sie nach unten, bis Sie „Gerätewartung" sehen, und tippen Sie darauf.

Tippen Sie auf „Batterie" und überprüfen Sie den Verbrauch jeder Anwendung. Legitime/echte Anwendungen sind so konzipiert, dass sie so wenig Energie wie möglich verbrauchen, um das beste Benutzererlebnis zu bieten und Strom zu sparen. Daher kann ein hoher Batterieverbrauch darauf hindeuten, dass die Anwendung bösartig ist.

[Zurück zum Inhaltsverzeichnis]

Den Datenverbrauch verschiedener Anwendungen überprüfen:

Gehen Sie zu „Einstellungen", scrollen Sie nach unten, bis Sie „Verbindungen" sehen, und tippen Sie darauf.

Scrollen Sie nach unten, bis Sie „Datenverbrauch" sehen, und wählen Sie diese Option aus. Wie bei der Batterie sind legitime/echte Anwendungen so konzipiert, dass sie den Datenverbrauch so weit wie möglich minimieren. Das bedeutet, dass ein enormer Datenverbrauch auf das Vorhandensein einer bösartigen Anwendung hindeuten kann. Beachten Sie, dass einige bösartige Anwendungen so konzipiert sein könnten, dass sie nur dann arbeiten, wenn das Gerät mit einem drahtlosen Netzwerk verbunden ist. Aus diesem Grund sollten Sie sowohl den Mobil- als auch den WLAN-Datenverbrauch überprüfen.

Wenn Sie eine Anwendung finden, die viele Daten verbraucht, obwohl Sie sie nie verwenden, raten wir Ihnen dringend, sie so schnell wie möglich zu deinstallieren.

[Zurück zum Inhaltsverzeichnis]

Die neuesten Software-Updates installieren:

Die Software auf dem neuesten Stand zu halten, ist eine gute Praxis, wenn es um die Gerätesicherheit geht. Die Gerätehersteller veröffentlichen kontinuierlich verschiedene Sicherheitspatches und Android-Updates, um Fehler und Bugs zu beheben, die von Cyberkriminellen ausgenutzt werden können. Ein veraltetes System ist weitaus anfälliger, weshalb Sie immer sicherstellen sollten, dass die Software Ihres Geräts auf dem neuesten Stand ist.

Gehen Sie zu „Einstellungen", scrollen Sie nach unten, bis Sie „Software-Update" sehen, und tippen Sie darauf.

Tippen Sie auf „Updates manuell herunterladen" und überprüfen Sie, ob Updates verfügbar sind. Falls ja, installieren Sie diese sofort. Wir empfehlen außerdem, die Option „Updates automatisch herunterladen" zu aktivieren - dadurch kann das System Sie benachrichtigen, sobald ein Update veröffentlicht wird, und/oder es automatisch installieren.

[Zurück zum Inhaltsverzeichnis]

Das System auf seinen Standardzustand zurücksetzen:

Das Durchführen eines „Zurücksetzens auf Werkseinstellungen" ist eine gute Möglichkeit, alle unerwünschten Anwendungen zu entfernen, die Systemeinstellungen auf die Standardwerte zurückzusetzen und das Gerät insgesamt zu bereinigen. Sie müssen jedoch bedenken, dass alle Daten auf dem Gerät gelöscht werden, einschließlich Fotos, Video-/Audiodateien, Telefonnummern (auf dem Gerät gespeichert, nicht auf der SIM-Karte), SMS-Nachrichten und so weiter. Mit anderen Worten, das Gerät wird in seinen ursprünglichen Zustand zurückversetzt.

Sie können auch die grundlegenden Systemeinstellungen und/oder einfach die Netzwerkeinstellungen wiederherstellen.

Gehen Sie zu „Einstellungen", scrollen Sie nach unten, bis Sie „Über das Telefon" sehen, und tippen Sie darauf.

Scrollen Sie nach unten, bis Sie „Zurücksetzen" sehen, und tippen Sie darauf. Wählen Sie nun die Aktion, die Sie durchführen möchten:
„Einstellungen zurücksetzen" - alle Systemeinstellungen auf die Standardwerte zurücksetzen;
„Netzwerkeinstellungen zurücksetzen" - alle netzwerkbezogenen Einstellungen auf die Standardwerte zurücksetzen;
„Auf Werkseinstellungen zurücksetzen" - das gesamte System zurücksetzen und alle gespeicherten Daten vollständig löschen;

[Zurück zum Inhaltsverzeichnis]

Anwendungen mit Administratorrechten deaktivieren:

Wenn eine bösartige Anwendung Administratorrechte erhält, kann sie das System ernsthaft beschädigen. Um das Gerät so sicher wie möglich zu halten, sollten Sie stets überprüfen, welche Apps solche Rechte haben, und diejenigen deaktivieren, die sie nicht haben sollten.

Gehen Sie zu „Einstellungen", scrollen Sie nach unten, bis Sie „Sperrbildschirm und Sicherheit" sehen, und tippen Sie darauf.

Scrollen Sie nach unten, bis Sie „Andere Sicherheitseinstellungen" sehen, tippen Sie darauf und tippen Sie dann auf „Geräteadministrator-Apps".

Identifizieren Sie Anwendungen, die keine Administratorrechte haben sollten, tippen Sie darauf und tippen Sie dann auf „DEAKTIVIEREN".

Häufig gestellte Fragen (FAQ)

Mein Android-Gerät ist mit der Glitch SPY RAT-Malware infiziert. Sollte ich meinen Speicher formatieren, um sie loszuwerden?

Eine Formatierung ist zur Entfernung von Android-Malware selten notwendig. Das Ausführen einer seriösen mobilen Sicherheitsanwendung wie Combo Cleaner sollte ausreichen, um Glitch SPY auf Ihrem Gerät zu erkennen und zu beseitigen.

Welches sind die größten Probleme, die die Glitch SPY RAT-Malware verursachen kann?

Glitch SPY verschafft Angreifern nahezu vollständige Kontrolle über ein infiziertes Gerät. Es kann SMS-Nachrichten, Kontakte und Kontoanmeldedaten stehlen, Tastatureingaben protokollieren, Audio und Video aufzeichnen und den Inhalt der Zwischenablage überwachen.

Der Crypto-Clipper der Malware leitet Kryptowährungszahlungen unbemerkt an von Angreifern kontrollierte Wallets um. Die versteckte Browserkomponente kann außerdem Kontoübernahmen direkt vom Gerät des Opfers durchführen und dabei viele Betrugserkennungssysteme umgehen.

Was ist der Zweck der Glitch SPY RAT-Malware?

Die meiste Malware ist durch finanzielle Vorteile motiviert. Die Crypto-Clipping- und Datendiebstahlfunktionen von Glitch SPY deuten darauf hin, dass Profit das Hauptmotiv ist, obwohl Angreifer sie auch für gezielte Spionage, das Verfolgen von Personen oder andere persönliche Gründe nutzen könnten.

Wie ist die Glitch SPY RAT-Malware in mein Android-Gerät eingedrungen?

Glitch SPY wird über eine gefälschte polnische Wohnungsvermietungswebsite verbreitet. Besucher werden dazu verleitet, eine bösartige APK herunterzuladen, die den Brokewell Android Loader enthält, der Glitch SPY unbemerkt installiert, während er vorgibt, ein legitimes App-Update auszuführen.

Wird Combo Cleaner mich vor Malware schützen?

Combo Cleaner ist in der Lage, nahezu alle bekannten Malware-Infektionen zu erkennen und zu beseitigen. Das Durchführen eines vollständigen Systemscans wird empfohlen, da sich raffinierte Bedrohungen wie Glitch SPY oft tief im Gerät einnisten.