So entfernen Sie RedWing Spyware von Android-Geräten

Was für eine Malware ist RedWing?

RedWing ist eine kommerzielle Spyware-Plattform, die über ein Abonnementmodell angeboten wird und auf Android-Nutzer abzielt. Sie ist in der Lage, SMS-Nachrichten abzufangen, Finanz-Anmeldedaten zu sammeln, Audio- und Videoaufnahmen zu erstellen und Angreifern die vollständige Fernsteuerung über infizierte Geräte zu gewähren. Laut einer von Zimperium veröffentlichten Untersuchung ist die Operation mit russischen Bedrohungsakteuren verbunden und folgt einem Malware-as-a-Service (MaaS)-Modell, das es Käufern ermöglicht, angepasste Spyware ohne technisches Fachwissen einzusetzen.

Überblick über die RedWing-Malware

RedWing wird über ein gestaffeltes Abonnementmodell angeboten. Der Zugang kostet 10 US-Dollar pro Tag, 60 US-Dollar pro Woche oder 200 US-Dollar pro Monat, wobei auch eine kostenlose einstündige Testversion verfügbar ist und für längere Zeiträume individuelle Vereinbarungen getroffen werden können. Abonnenten erhalten ein webbasiertes Bedienfeld und einen automatisierten APK-Builder, der einsatzbereite bösartige Anwendungen nach ihren Vorgaben erstellt.

Der Dienst umfasst eine integrierte Phishing-Infrastruktur, mit der Betreiber gefälschte App-Store-Seiten erstellen können, die Google Play, den Samsung Galaxy Store und die AppGallery imitieren. Diese Seiten können mit gefälschten Bewertungen, Bewertungszahlen und Download-Statistiken versehen werden, sodass sie von legitimen Marktplatzeinträgen nicht zu unterscheiden sind.

Es wurde beobachtet, dass sich RedWing über gefälschte Update-Aufforderungen verbreitet, die über RuStore, einen legitimen russischen Mobil-Marktplatz, ausgeliefert werden. Die bösartige Anwendung installiert sich in der Regel unter einem generischen, unauffälligen Namen, um keinen Verdacht zu erregen. Nach der Installation präsentiert sie dem Opfer einen mehrstufigen Einrichtungsassistenten, der als Konfigurationsbildschirm für den „Systemschutz" getarnt ist.

Über diese Social-Engineering-Overlays fordert RedWing eine Reihe weitreichender Berechtigungen an. Es bittet darum, die Standard-SMS-Anwendung des Geräts zu werden, Zugriff auf den Bedienungshilfen-Dienst zu erhalten, Geräteadministratorrechte zu bekommen, die Akkuoptimierung für einen dauerhaften Hintergrundbetrieb zu umgehen und auf Benachrichtigungen zuzugreifen.

Sobald diese Berechtigungen erteilt sind, beginnt die Malware, eine breite Palette persönlicher Daten zu sammeln. Sie stiehlt SMS-Nachrichten, Anrufprotokolle und Kontakte, listet Dateien auf dem Gerät auf, verfolgt den geografischen Standort, zeichnet Tastatureingaben auf und überwacht die Zwischenablage. Alle gesammelten Daten werden an den Command-and-Control-Server des Angreifers übermittelt.

RedWing verfügt zudem über umfangreiche Fernzugriffsfunktionen. Betreiber können den Gerätebildschirm mithilfe eines integrierten VNC-Moduls live streamen, Screenshots aufnehmen, die Kamera aktivieren, um Fotos oder Videos aufzunehmen, und über das Mikrofon Audio aufzeichnen. Das Gerät kann außerdem jederzeit aus der Ferne gesperrt werden.

Eine große finanzielle Bedrohung durch RedWing ist seine Overlay-Angriffsfunktion, die über 82 Banking- und Kryptowährungsanwendungen mit einem starken Fokus auf russische Finanzinstitute ins Visier nimmt. Wenn ein Opfer eine dieser anvisierten Apps öffnet, wird ein überzeugend gefälschter Anmeldebildschirm darübergelegt, um heimlich die Anmeldedaten zu stehlen.

Um die Zwei-Faktor-Authentifizierung auszuhebeln, fängt RedWing eingehende SMS-Nachrichten ab, bevor das Opfer sie lesen kann. Es kann außerdem Anrufe mithilfe von USSD-Befehlen umleiten und sie heimlich weiterleiten, sodass sprachbasierte Bestätigungscodes den Angreifer statt den vorgesehenen Empfänger erreichen.

Über die Überwachung hinaus kann RedWing infizierte Geräte als Knoten in einem Botnet für koordinierte HTTP-Flood-Angriffe gegen vom Angreifer angegebene Ziele einbinden. Ein integriertes Proxy-Modul ermöglicht Netzwerk-Tunneling, und die Malware unterstützt über 150 einzelne Fernbefehle, die alles von der Overlay-Injektion bis zur Dateiverwaltung abdecken.

Malware-Entwickler aktualisieren und erweitern ihre Werkzeuge häufig. Zukünftige Versionen von RedWing könnten zusätzliche oder andere Funktionen als die hier dokumentierten enthalten.

Zusammenfassend lässt sich sagen, dass das Vorhandensein von RedWing auf einem Gerät zu einem vollständigen Verlust der Privatsphäre, dem Diebstahl von Bankdaten und Authentifizierungscodes, unbefugten Finanztransaktionen und der vollständigen Fernsteuerung des Geräts durch Dritte führen kann.

Beispiele für Android-Spyware

RedWing ist ein leistungsstarkes kommerzielles Spyware-Werkzeug, das Abonnenten umfangreiche Kontrolle über infizierte Android-Geräte verschafft. Seine Kombination aus Finanzbetrugsmodulen, umfangreichen Überwachungsfähigkeiten und abonnentenfreundlicher MaaS-Infrastruktur macht es zu einer ernsthaften Bedrohung für jeden, dessen Gerät ein Käufer ins Visier nimmt.

Auf Android abzielende Spyware und Malware nehmen viele Formen an. Beispiele für ähnliche Bedrohungen sind ResidentBat, Landfall und PlainGnome.

Es ist erwähnenswert, dass die meiste Android-Malware mit finanziellem Gewinn als primärem Motiv erstellt wird, obwohl auch Überwachungsziele und ideologische Ziele eine Rolle spielen können. Unabhängig von der Absicht sollte jede derartige Bedrohung entfernt werden, sobald sie erkannt wird.

Wie ist RedWing in mein Gerät eingedrungen?

Die Betreiber von RedWing verwenden Phishing-Seiten, die legitimen App-Marktplätzen wie Google Play, dem Samsung Galaxy Store und der AppGallery täuschend ähnlich gestaltet sind. Opfer werden in der Regel über gezielte Kampagnen auf diese Seiten geleitet und dazu aufgefordert, eine scheinbar offizielle App oder ein erforderliches Update herunterzuladen.

Die Malware hat sich auch als gefälschte RuStore-Update-Aufforderungen verbreitet. Diese Benachrichtigungen behaupten, dass eine installierte Anwendung ein obligatorisches Update benötigt, um weiter zu funktionieren, und enthalten falsche Sicherheitsabzeichen, um Vertrauen aufzubauen. Das Akzeptieren des Updates lädt die RedWing-APK herunter und installiert sie auf dem Gerät.

Da der RedWing-Builder es Käufern ermöglicht, den App-Namen, das Symbol und den Berechtigungsablauf über einen Telegram-Bot anzupassen, kann das Erscheinungsbild der bösartigen Anwendung zwischen den Kampagnen erheblich variieren. Benutzer sollten bei jeder Installationsaufforderung misstrauisch sein, die außerhalb des offiziellen App-Stores selbst erscheint.

Wie kann man die Installation von Malware vermeiden?

Installieren Sie Anwendungen nur aus dem offiziellen Google Play Store oder von der verifizierten Website eines Entwicklers. Vermeiden Sie das Herunterladen von APK-Dateien, die über Telegram, soziale Medien, SMS-Links oder andere inoffizielle Kanäle geteilt werden, selbst wenn die Aufforderung von einer vertrauten und vertrauenswürdigen App zu stammen scheint.

Überprüfen Sie App-Berechtigungen sorgfältig, bevor Sie sie erteilen. Legitime Anwendungen benötigen selten Zugriff auf den Bedienungshilfen-Dienst oder das Recht, Ihre Standard-SMS-App zu werden. Android aktuell zu halten und eine seriöse mobile Sicherheitsanwendung auszuführen, fügt eine starke zusätzliche Schutzebene gegen Bedrohungen wie RedWing hinzu.

RedWing-Spyware, die über eine gefälschte RuStore-Update-Aufforderung verbreitet wird, und der Android-Bildschirm „Unbekannte Apps installieren", der während der Installation ausgelöst wird (Quelle: zimperium.com):

RedWing-Berechtigungseinrichtungsassistent, der Zugriff auf die Standard-SMS-App, den Bedienungshilfen-Dienst und Geräteadministratorrechte anfordert (Quelle: zimperium.com):

Vom RedWing-Builder generierte Berechtigungsanfragekarten, die das Opfer auffordern, die Umgehung der Akkuoptimierung, den SMS-Zugriff und den Benachrichtigungszugriff zuzulassen (Quelle: zimperium.com):

Schnellmenü:

• Einleitung
• Wie löscht man den Browserverlauf aus dem Chrome-Webbrowser?
• Wie deaktiviert man Browser-Benachrichtigungen im Chrome-Webbrowser?
• Wie setzt man den Chrome-Webbrowser zurück?
• Wie löscht man den Browserverlauf aus dem Firefox-Webbrowser?
• Wie deaktiviert man Browser-Benachrichtigungen im Firefox-Webbrowser?
• Wie setzt man den Firefox-Webbrowser zurück?
• Wie deinstalliert man potenziell unerwünschte und/oder bösartige Anwendungen?
• Wie startet man das Android-Gerät im „abgesicherten Modus"?
• Wie überprüft man den Akkuverbrauch verschiedener Anwendungen?
• Wie überprüft man den Datenverbrauch verschiedener Anwendungen?
• Wie installiert man die neuesten Software-Updates?
• Wie setzt man das System auf seinen Standardzustand zurück?
• Wie deaktiviert man Anwendungen, die Administratorrechte haben?

Browserverlauf aus dem Chrome-Webbrowser löschen:

Tippen Sie auf die Schaltfläche „Menü" (drei Punkte in der oberen rechten Ecke des Bildschirms) und wählen Sie „Verlauf" im geöffneten Dropdown-Menü.

Tippen Sie auf „Browserdaten löschen", wählen Sie den Reiter „ERWEITERT", wählen Sie den Zeitraum und die Datentypen, die Sie löschen möchten, und tippen Sie auf „Daten löschen".

[Zurück zum Inhaltsverzeichnis]

Browser-Benachrichtigungen im Chrome-Webbrowser deaktivieren:

Tippen Sie auf die Schaltfläche „Menü" (drei Punkte in der oberen rechten Ecke des Bildschirms) und wählen Sie „Einstellungen" im geöffneten Dropdown-Menü.

Scrollen Sie nach unten, bis Sie die Option „Website-Einstellungen" sehen, und tippen Sie darauf. Scrollen Sie nach unten, bis Sie die Option „Benachrichtigungen" sehen, und tippen Sie darauf.

Finden Sie die Websites, die Browser-Benachrichtigungen senden, tippen Sie auf sie und klicken Sie auf „Löschen und zurücksetzen". Dadurch werden die Berechtigungen entfernt, die diesen Websites zum Senden von Benachrichtigungen erteilt wurden. Sobald Sie jedoch dieselbe Website erneut besuchen, kann sie erneut um eine Berechtigung bitten. Sie können wählen, ob Sie diese Berechtigungen erteilen möchten oder nicht (wenn Sie ablehnen, wird die Website in den Bereich „Blockiert" verschoben und wird Sie nicht mehr um die Berechtigung bitten).

[Zurück zum Inhaltsverzeichnis]

Chrome-Webbrowser zurücksetzen:

Gehen Sie zu „Einstellungen", scrollen Sie nach unten, bis Sie „Apps" sehen, und tippen Sie darauf.

Scrollen Sie nach unten, bis Sie die Anwendung „Chrome" finden, wählen Sie sie aus und tippen Sie auf die Option „Speicher".

Tippen Sie auf „SPEICHER VERWALTEN", dann auf „ALLE DATEN LÖSCHEN" und bestätigen Sie die Aktion durch Tippen auf „OK". Beachten Sie, dass das Zurücksetzen des Browsers alle darin gespeicherten Daten löscht. Das bedeutet, dass alle gespeicherten Anmeldedaten/Passwörter, der Browserverlauf, nicht standardmäßige Einstellungen und andere Daten gelöscht werden. Sie müssen sich außerdem bei allen Websites erneut anmelden.

[Zurück zum Inhaltsverzeichnis]

Browserverlauf aus dem Firefox-Webbrowser löschen:

Tippen Sie auf die Schaltfläche „Menü" (drei Punkte in der oberen rechten Ecke des Bildschirms) und wählen Sie „Verlauf" im geöffneten Dropdown-Menü.

Scrollen Sie nach unten, bis Sie „Private Daten löschen" sehen, und tippen Sie darauf. Wählen Sie die Datentypen aus, die Sie entfernen möchten, und tippen Sie auf „DATEN LÖSCHEN".

[Zurück zum Inhaltsverzeichnis]

Browser-Benachrichtigungen im Firefox-Webbrowser deaktivieren:

Besuchen Sie die Website, die Browser-Benachrichtigungen sendet, tippen Sie auf das Symbol links von der URL-Leiste (das Symbol muss nicht unbedingt ein „Schloss" sein) und wählen Sie „Website-Einstellungen bearbeiten".

Aktivieren Sie im geöffneten Pop-up die Option „Benachrichtigungen" und tippen Sie auf „LÖSCHEN".

[Zurück zum Inhaltsverzeichnis]

Firefox-Webbrowser zurücksetzen:

Gehen Sie zu „Einstellungen", scrollen Sie nach unten, bis Sie „Apps" sehen, und tippen Sie darauf.

Scrollen Sie nach unten, bis Sie die Anwendung „Firefox" finden, wählen Sie sie aus und tippen Sie auf die Option „Speicher".

Tippen Sie auf „DATEN LÖSCHEN" und bestätigen Sie die Aktion durch Tippen auf „LÖSCHEN". Beachten Sie, dass das Zurücksetzen des Browsers alle darin gespeicherten Daten löscht. Das bedeutet, dass alle gespeicherten Anmeldedaten/Passwörter, der Browserverlauf, nicht standardmäßige Einstellungen und andere Daten gelöscht werden. Sie müssen sich außerdem bei allen Websites erneut anmelden.

[Zurück zum Inhaltsverzeichnis]

Potenziell unerwünschte und/oder bösartige Anwendungen deinstallieren:

Gehen Sie zu „Einstellungen", scrollen Sie nach unten, bis Sie „Apps" sehen, und tippen Sie darauf.

Scrollen Sie nach unten, bis Sie eine potenziell unerwünschte und/oder bösartige Anwendung sehen, wählen Sie sie aus und tippen Sie auf „Deinstallieren". Wenn Sie aus irgendeinem Grund die ausgewählte App nicht entfernen können (z. B. wenn Ihnen eine Fehlermeldung angezeigt wird), sollten Sie versuchen, den „abgesicherten Modus" zu verwenden.

[Zurück zum Inhaltsverzeichnis]

Das Android-Gerät im „abgesicherten Modus" starten:

Der „abgesicherte Modus" im Android-Betriebssystem deaktiviert vorübergehend die Ausführung aller Drittanbieteranwendungen. Die Verwendung dieses Modus ist eine gute Möglichkeit, verschiedene Probleme zu diagnostizieren und zu lösen (z. B. bösartige Anwendungen zu entfernen, die Benutzer daran hindern, dies zu tun, wenn das Gerät „normal" läuft).

Drücken Sie die „Ein/Aus"-Taste und halten Sie sie gedrückt, bis Sie den Bildschirm „Ausschalten" sehen. Tippen Sie auf das Symbol „Ausschalten" und halten Sie es gedrückt. Nach einigen Sekunden erscheint die Option „abgesicherter Modus" und Sie können ihn durch einen Neustart des Geräts ausführen.

[Zurück zum Inhaltsverzeichnis]

Den Akkuverbrauch verschiedener Anwendungen überprüfen:

Gehen Sie zu „Einstellungen", scrollen Sie nach unten, bis Sie „Gerätewartung" sehen, und tippen Sie darauf.

Tippen Sie auf „Akku" und überprüfen Sie den Verbrauch jeder Anwendung. Legitime/echte Anwendungen sind so konzipiert, dass sie so wenig Energie wie möglich verbrauchen, um das beste Benutzererlebnis zu bieten und Strom zu sparen. Daher kann ein hoher Akkuverbrauch darauf hindeuten, dass die Anwendung bösartig ist.

[Zurück zum Inhaltsverzeichnis]

Den Datenverbrauch verschiedener Anwendungen überprüfen:

Gehen Sie zu „Einstellungen", scrollen Sie nach unten, bis Sie „Verbindungen" sehen, und tippen Sie darauf.

Scrollen Sie nach unten, bis Sie „Datenverbrauch" sehen, und wählen Sie diese Option. Wie beim Akku sind legitime/echte Anwendungen so konzipiert, dass sie den Datenverbrauch so gering wie möglich halten. Das bedeutet, dass ein enormer Datenverbrauch auf das Vorhandensein einer bösartigen Anwendung hindeuten kann. Beachten Sie, dass einige bösartige Anwendungen so konzipiert sein könnten, dass sie nur dann arbeiten, wenn das Gerät mit einem drahtlosen Netzwerk verbunden ist. Aus diesem Grund sollten Sie sowohl den Mobil- als auch den WLAN-Datenverbrauch überprüfen.

Wenn Sie eine Anwendung finden, die viele Daten verbraucht, obwohl Sie sie nie verwenden, raten wir Ihnen dringend, sie so schnell wie möglich zu deinstallieren.

[Zurück zum Inhaltsverzeichnis]

Die neuesten Software-Updates installieren:

Die Software auf dem neuesten Stand zu halten, ist eine gute Praxis in Bezug auf die Gerätesicherheit. Die Gerätehersteller veröffentlichen kontinuierlich verschiedene Sicherheitspatches und Android-Updates, um Fehler und Bugs zu beheben, die von Cyberkriminellen missbraucht werden können. Ein veraltetes System ist weitaus anfälliger, weshalb Sie immer sicherstellen sollten, dass die Software Ihres Geräts auf dem neuesten Stand ist.

Gehen Sie zu „Einstellungen", scrollen Sie nach unten, bis Sie „Software-Update" sehen, und tippen Sie darauf.

Tippen Sie auf „Updates manuell herunterladen" und prüfen Sie, ob Updates verfügbar sind. Falls ja, installieren Sie sie sofort. Wir empfehlen außerdem, die Option „Updates automatisch herunterladen" zu aktivieren - sie ermöglicht es dem System, Sie zu benachrichtigen, sobald ein Update veröffentlicht wird, und/oder es automatisch zu installieren.

[Zurück zum Inhaltsverzeichnis]

Das System auf seinen Standardzustand zurücksetzen:

Das Durchführen eines „Werksresets" ist eine gute Möglichkeit, alle unerwünschten Anwendungen zu entfernen, die Systemeinstellungen auf die Standardwerte zurückzusetzen und das Gerät allgemein zu bereinigen. Sie müssen jedoch bedenken, dass alle Daten auf dem Gerät gelöscht werden, einschließlich Fotos, Video-/Audiodateien, Telefonnummern (die auf dem Gerät gespeichert sind, nicht auf der SIM-Karte), SMS-Nachrichten und so weiter. Mit anderen Worten, das Gerät wird in seinen ursprünglichen Zustand zurückversetzt.

Sie können auch die grundlegenden Systemeinstellungen und/oder einfach die Netzwerkeinstellungen zurücksetzen.

Gehen Sie zu „Einstellungen", scrollen Sie nach unten, bis Sie „Über das Telefon" sehen, und tippen Sie darauf.

Scrollen Sie nach unten, bis Sie „Zurücksetzen" sehen, und tippen Sie darauf. Wählen Sie nun die Aktion, die Sie durchführen möchten:
„Einstellungen zurücksetzen" - alle Systemeinstellungen auf die Standardwerte zurücksetzen;
„Netzwerkeinstellungen zurücksetzen" - alle netzwerkbezogenen Einstellungen auf die Standardwerte zurücksetzen;
„Auf Werkseinstellungen zurücksetzen" - das gesamte System zurücksetzen und alle gespeicherten Daten vollständig löschen;

[Zurück zum Inhaltsverzeichnis]

Anwendungen deaktivieren, die Administratorrechte haben:

Wenn eine bösartige Anwendung Administratorrechte erhält, kann sie das System ernsthaft beschädigen. Um das Gerät so sicher wie möglich zu halten, sollten Sie immer überprüfen, welche Apps solche Rechte haben, und die deaktivieren, die sie nicht haben sollten.

Gehen Sie zu „Einstellungen", scrollen Sie nach unten, bis Sie „Sperrbildschirm und Sicherheit" sehen, und tippen Sie darauf.

Scrollen Sie nach unten, bis Sie „Andere Sicherheitseinstellungen" sehen, tippen Sie darauf und tippen Sie dann auf „Geräteadministrator-Apps".

Identifizieren Sie Anwendungen, die keine Administratorrechte haben sollten, tippen Sie darauf und tippen Sie dann auf „DEAKTIVIEREN".

Häufig gestellte Fragen (FAQ)

Mein Android-Gerät ist mit der RedWing-Malware infiziert, sollte ich meinen Speicher formatieren, um sie loszuwerden?

Eine Formatierung ist zur Malware-Entfernung selten erforderlich. Das Ausführen einer seriösen mobilen Antiviruslösung wie Combo Cleaner sollte ausreichen, um RedWing von Ihrem Gerät zu erkennen und zu beseitigen, ohne auf ein vollständiges Zurücksetzen auf die Werkseinstellungen zurückzugreifen.

Was sind die größten Probleme, die die RedWing-Malware verursachen kann?

RedWing verschafft Angreifern nahezu vollständige Kontrolle über ein infiziertes Gerät. Sie können SMS-Nachrichten einschließlich Zwei-Faktor-Authentifizierungscodes abfangen, Bankdaten über gefälschte Overlay-Bildschirme stehlen und ohne Wissen des Opfers auf Kamera und Mikrofon zugreifen.

Über die Überwachung hinaus können Betreiber eingehende Anrufe umleiten, um die telefonbasierte Authentifizierung zu umgehen, das Gerät aus der Ferne sperren und mehrere infizierte Telefone koordinieren, um Traffic-Flood-Angriffe zu starten. Ernsthafte finanzielle Verluste und Identitätsdiebstahl gehören zu den wahrscheinlichsten realen Folgen.

Was ist der Zweck der RedWing-Malware?

RedWing ist in erster Linie profitorientiert. Das MaaS-Modell ermöglicht es Abonnenten, für den Zugang zu bezahlen und das Toolkit zu verwenden, um Bankdaten zu stehlen, Zwei-Faktor-Authentifizierungscodes zu sammeln, unbefugte Überwachung durchzuführen und Finanzbetrug zu begehen.

Angesichts des starken Fokus der Malware auf russische Finanzanwendungen und ihrer offensichtlichen Verbindungen zu russischsprachigen Bedrohungsakteuren können Motivationen über den finanziellen Gewinn hinaus - wie etwa staatlich ausgerichtete Nachrichtenbeschaffung - nicht ausgeschlossen werden.

Wie ist die RedWing-Malware in mein Android-Gerät eingedrungen?

RedWing gelangt am häufigsten über Phishing-Seiten auf das Gerät, die legitime App-Stores wie Google Play oder RuStore imitieren, wo Opfer aufgefordert werden, ein gefälschtes Update herunterzuladen. Abonnementkäufer generieren angepasste APKs über einen Telegram-Bot und verbreiten sie über Phishing-Links oder Messaging-Plattformen.

Wird Combo Cleaner mich vor Malware schützen?

Combo Cleaner kann die überwiegende Mehrheit bekannter Malware-Infektionen erkennen und entfernen. Das Durchführen eines vollständigen Gerätescans ist besonders wichtig bei Bedrohungen wie RedWing, die sich tief über Bedienungshilfen-Rechte und Geräteadministratorrechte einnisten.