Wie man die Corp MDM Android-Spyware loswird

Was für eine Malware ist Corp MDM Spyware?

Corp MDM ist eine Android-Spyware, die es auf Mitarbeiter von Logistikunternehmen abgesehen hat. Sie fängt unbemerkt SMS-Nachrichten ab und leitet Anrufe um, um Authentifizierungscodes zu stehlen. Laut einer Untersuchung von Have I Been Squatted steht die Kampagne in Verbindung mit Frachtdiebstählen.

Corp MDM Spyware Übersicht

Corp MDM gibt sich als App namens System Service aus und verfügt über einen gefälschten Systemkonfigurations-Ladebildschirm, der etwa zehn Sekunden lang Meldungen wie Initializing system... anzeigt, bevor Berechtigungen angefordert werden. Diese Verzögerung imitiert einen echten Geräteeinrichtungsprozess, wodurch Benutzer eher bereit sind, der Malware den benötigten Zugriff zu gewähren.

Die Malware wird über gefälschte Google Play Store-Seiten verbreitet, die sich als CEVA Logistics und TKW Logistics ausgeben. Diese Seiten kopieren die Navigation, Bewertungen, Rezensionen und Datensicherheitsabschnitte des Play Store originalgetreu, um legitim zu wirken. Besucher werden dann aufgefordert, die APK per Sideloading zu installieren und Installationen aus unbekannten Quellen zuzulassen.

Nach der Installation fängt Corp MDM jede eingehende SMS-Nachricht in Echtzeit ab und erfasst Absender, Nachrichteninhalt und Zeitstempel zusammen mit einer eindeutigen Gerätekennung. Dadurch eignet sie sich besonders zum Diebstahl von Einmalpasswörtern, die für die Zwei-Faktor-Authentifizierung verwendet werden, sodass Angreifer Sicherheitsprüfungen bei Banking-Apps und anderen Diensten umgehen können.

Die Malware kann außerdem unbemerkt eine bedingungslose Anrufweiterleitung auf dem Gerät aktivieren, wodurch alle eingehenden Anrufe an eine von den Angreifern kontrollierte Nummer weitergeleitet werden. Dies geschieht mithilfe eines im Hintergrund gesendeten Standard-Netzbetreibercodes, ohne dass das Opfer einen sichtbaren Hinweis erhält. In Kombination mit dem Abfangen von SMS verschafft dies dem Angreifer die volle Kontrolle über die eingehende Kommunikation des Opfers.

Corp MDM kommuniziert über unverschlüsseltes HTTP mit einem Command-and-Control-Server und sendet Gerätedetails wie Hersteller, Modell und Akkustand zusammen mit gestohlenen SMS-Daten. Das Betreiber-Panel unterstützt Befehle zum Ein- und Ausschalten der Anrufweiterleitung, zum Anfordern einer SMS-Synchronisierung und zum Auslösen einer Selbstzerstörungsroutine, die den Dienst beendet und die App-Daten löscht.

Forscher gehen davon aus, dass der Bedrohungsakteur hinter Corp MDM wahrscheinlich eine Verbindung zu Armenien oder Russland hat, was sich teilweise auf eine im Betreiber-Panel gefundene Standard-Ländervorwahl +374 stützt. Das Implantat weist zudem Anzeichen einer KI-gestützten Entwicklung auf, darunter Fehler, die dazu führen, dass einige beworbene Funktionen - wie Standortverfolgung und Gerätesperre - im Client überhaupt nicht funktionsfähig implementiert sind.

Es muss erwähnt werden, dass Malware-Entwickler ihre Software und Methoden häufig verbessern. Daher könnten mögliche zukünftige Versionen von Corp MDM zusätzliche oder andere Funktionalitäten und Merkmale aufweisen.

Zusammenfassend lässt sich sagen, dass das Vorhandensein von Software wie Corp MDM auf Geräten zu schwerwiegenden Datenschutzproblemen, gestohlenen Authentifizierungscodes, unbefugter Anrufumleitung, finanziellen Verlusten und Identitätsdiebstahl führen kann.

Beispiele für Android-Spyware

Corp MDM ist ein gezieltes Werkzeug, das Frachtdiebstahl unterstützen soll, indem es unbemerkt die Kommunikation von Logistikmitarbeitern überwacht. Die Kombination aus SMS-Abfangen und Anrufweiterleitung verschafft Angreifern dauerhaften Zugriff auf Authentifizierungscodes, was besonders schädlich für Opfer ist, deren Konten mit der kompromittierten Telefonnummer verknüpft sind.

Ähnliche Android-Spyware- und Malware-Bedrohungen sind RedWing, ResidentBat und Landfall. Beachten Sie, dass sich ihre Fähigkeiten zwar unterscheiden können, die allgemeinen Risiken - Verletzung der Privatsphäre, finanzielle Verluste und Identitätsdiebstahl - bei dieser Art von Bedrohungen jedoch gleich bleiben.

Wie ist Corp MDM Spyware auf mein Gerät gelangt?

Corp MDM verbreitet sich hauptsächlich über gefälschte Google Play Store-Seiten, die sich als CEVA Logistics und TKW Logistics ausgeben. Diese Seiten werden auf ähnlich aussehenden Domains gehostet und sind so gestaltet, dass sie wie offizielle App-Einträge aussehen, komplett mit erfundenen Bewertungen und Rezensionen. Besucher werden angeleitet, eine APK-Datei direkt herunterzuladen und Installationen aus unbekannten Quellen zu aktivieren - ein Schritt, den der echte Play Store niemals verlangt.

Im Allgemeinen erreicht Android-Malware ihre Opfer auch über App-Stores von Drittanbietern, Phishing-Links, die per E-Mail oder Messaging-Apps versendet werden, gefälschte Software-Update-Aufforderungen und bösartige Werbung. Apps ausschließlich aus dem offiziellen Google Play Store herunterzuladen und den Entwickler vor der Installation zu überprüfen, sind die zuverlässigsten Schutzmaßnahmen.

Wie lässt sich die Installation von Malware vermeiden?

Installieren Sie Apps immer aus offiziellen Quellen und seien Sie vorsichtig bei Websites, die Sie auffordern, eine APK-Datei direkt herunterzuladen. Seiten, die das Layout des Play Store imitieren, aber nicht auf google.com oder play.google.com gehostet werden, sind mit ziemlicher Sicherheit betrügerisch. Überprüfen Sie die URL sorgfältig, bevor Sie auf eine Download-Schaltfläche tippen.

Klicken Sie nicht auf Links in unerwünschten E-Mails, Textnachrichten oder Social-Media-Beiträgen, die App-Downloads anbieten. Überprüfen Sie die Berechtigungen, die eine App während der Installation anfordert - eine systemähnliche App, die SMS-Zugriff und Anruffunktionen verlangt, ist ein ernstes Warnsignal. Ihr Gerät aktuell zu halten und seriöse Sicherheitssoftware zu verwenden, bietet eine wichtige zusätzliche Schutzebene.

Screenshot des gefälschten Google Play Store, der zur Verbreitung der Corp MDM-Spyware verwendet wird (Quelle: haveibeensquatted.com):

Schnellmenü:

• Einleitung
• Wie lässt sich der Browserverlauf im Chrome-Webbrowser löschen?
• Wie lassen sich Browserbenachrichtigungen im Chrome-Webbrowser deaktivieren?
• Wie lässt sich der Chrome-Webbrowser zurücksetzen?
• Wie lässt sich der Browserverlauf im Firefox-Webbrowser löschen?
• Wie lassen sich Browserbenachrichtigungen im Firefox-Webbrowser deaktivieren?
• Wie lässt sich der Firefox-Webbrowser zurücksetzen?
• Wie lassen sich potenziell unerwünschte und/oder bösartige Anwendungen deinstallieren?
• Wie lässt sich das Android-Gerät im „Abgesicherten Modus“ starten?
• Wie lässt sich der Akkuverbrauch verschiedener Anwendungen überprüfen?
• Wie lässt sich die Datennutzung verschiedener Anwendungen überprüfen?
• Wie lassen sich die neuesten Software-Updates installieren?
• Wie lässt sich das System auf den Standardzustand zurücksetzen?
• Wie lassen sich Anwendungen mit Administratorrechten deaktivieren?

Browserverlauf im Chrome-Webbrowser löschen:

Tippen Sie auf die Schaltfläche „Menü“ (drei Punkte in der oberen rechten Ecke des Bildschirms) und wählen Sie im geöffneten Dropdown-Menü „Verlauf“.

Tippen Sie auf „Browserdaten löschen“, wählen Sie die Registerkarte „ERWEITERT“, wählen Sie den Zeitraum und die Datentypen aus, die Sie löschen möchten, und tippen Sie auf „Daten löschen“.

[Zurück zum Inhaltsverzeichnis]

Browserbenachrichtigungen im Chrome-Webbrowser deaktivieren:

Tippen Sie auf die Schaltfläche „Menü“ (drei Punkte in der oberen rechten Ecke des Bildschirms) und wählen Sie im geöffneten Dropdown-Menü „Einstellungen“.

Scrollen Sie nach unten, bis Sie die Option „Website-Einstellungen“ sehen, und tippen Sie darauf. Scrollen Sie nach unten, bis Sie die Option „Benachrichtigungen“ sehen, und tippen Sie darauf.

Suchen Sie die Websites, die Browserbenachrichtigungen senden, tippen Sie darauf und klicken Sie auf „Löschen & zurücksetzen“. Dadurch werden die Berechtigungen entfernt, die diesen Websites zum Senden von Benachrichtigungen erteilt wurden. Wenn Sie dieselbe Website jedoch erneut besuchen, fragt sie möglicherweise erneut nach einer Berechtigung. Sie können entscheiden, ob Sie diese Berechtigungen erteilen möchten oder nicht (wenn Sie ablehnen, wird die Website in den Bereich „Blockiert“ verschoben und fragt Sie nicht mehr nach der Berechtigung).

[Zurück zum Inhaltsverzeichnis]

Chrome-Webbrowser zurücksetzen:

Gehen Sie zu „Einstellungen“, scrollen Sie nach unten, bis Sie „Apps“ sehen, und tippen Sie darauf.

Scrollen Sie nach unten, bis Sie die Anwendung „Chrome“ finden, wählen Sie sie aus und tippen Sie auf die Option „Speicher“.

Tippen Sie auf „SPEICHER VERWALTEN“, dann auf „ALLE DATEN LÖSCHEN“ und bestätigen Sie die Aktion, indem Sie auf „OK“ tippen. Beachten Sie, dass beim Zurücksetzen des Browsers alle darin gespeicherten Daten gelöscht werden. Das bedeutet, dass alle gespeicherten Anmeldedaten/Passwörter, der Browserverlauf, nicht standardmäßige Einstellungen und andere Daten gelöscht werden. Sie müssen sich außerdem bei allen Websites erneut anmelden.

[Zurück zum Inhaltsverzeichnis]

Browserverlauf im Firefox-Webbrowser löschen:

Tippen Sie auf die Schaltfläche „Menü“ (drei Punkte in der oberen rechten Ecke des Bildschirms) und wählen Sie im geöffneten Dropdown-Menü „Verlauf“.

Scrollen Sie nach unten, bis Sie „Private Daten löschen“ sehen, und tippen Sie darauf. Wählen Sie die Datentypen aus, die Sie entfernen möchten, und tippen Sie auf „DATEN LÖSCHEN“.

[Zurück zum Inhaltsverzeichnis]

Browserbenachrichtigungen im Firefox-Webbrowser deaktivieren:

Besuchen Sie die Website, die Browserbenachrichtigungen sendet, tippen Sie auf das Symbol links neben der URL-Leiste (das Symbol ist nicht unbedingt ein „Schloss“) und wählen Sie „Website-Einstellungen bearbeiten“.

Markieren Sie im geöffneten Pop-up die Option „Benachrichtigungen“ und tippen Sie auf „LÖSCHEN“.

[Zurück zum Inhaltsverzeichnis]

Firefox-Webbrowser zurücksetzen:

Gehen Sie zu „Einstellungen“, scrollen Sie nach unten, bis Sie „Apps“ sehen, und tippen Sie darauf.

Scrollen Sie nach unten, bis Sie die Anwendung „Firefox“ finden, wählen Sie sie aus und tippen Sie auf die Option „Speicher“.

Tippen Sie auf „DATEN LÖSCHEN“ und bestätigen Sie die Aktion, indem Sie auf „LÖSCHEN“ tippen. Beachten Sie, dass beim Zurücksetzen des Browsers alle darin gespeicherten Daten gelöscht werden. Das bedeutet, dass alle gespeicherten Anmeldedaten/Passwörter, der Browserverlauf, nicht standardmäßige Einstellungen und andere Daten gelöscht werden. Sie müssen sich außerdem bei allen Websites erneut anmelden.

[Zurück zum Inhaltsverzeichnis]

Potenziell unerwünschte und/oder bösartige Anwendungen deinstallieren:

Gehen Sie zu „Einstellungen“, scrollen Sie nach unten, bis Sie „Apps“ sehen, und tippen Sie darauf.

Scrollen Sie nach unten, bis Sie eine potenziell unerwünschte und/oder bösartige Anwendung sehen, wählen Sie sie aus und tippen Sie auf „Deinstallieren“. Wenn Sie die ausgewählte App aus irgendeinem Grund nicht entfernen können (z. B. wenn eine Fehlermeldung angezeigt wird), sollten Sie versuchen, den „Abgesicherten Modus“ zu verwenden.

[Zurück zum Inhaltsverzeichnis]

Android-Gerät im „Abgesicherten Modus“ starten:

Der „Abgesicherte Modus“ im Android-Betriebssystem verhindert vorübergehend die Ausführung aller Anwendungen von Drittanbietern. Die Verwendung dieses Modus ist eine gute Möglichkeit, verschiedene Probleme zu diagnostizieren und zu beheben (z. B. bösartige Anwendungen zu entfernen, die Benutzer daran hindern, wenn das Gerät „normal“ läuft).

Drücken Sie die „Ein/Aus“-Taste und halten Sie sie gedrückt, bis der Bildschirm „Ausschalten“ angezeigt wird. Tippen Sie auf das Symbol „Ausschalten“ und halten Sie es gedrückt. Nach einigen Sekunden erscheint die Option „Abgesicherter Modus“, und Sie können ihn durch einen Neustart des Geräts ausführen.

[Zurück zum Inhaltsverzeichnis]

Akkuverbrauch verschiedener Anwendungen überprüfen:

Gehen Sie zu „Einstellungen“, scrollen Sie nach unten, bis Sie „Gerätewartung“ sehen, und tippen Sie darauf.

Tippen Sie auf „Akku“ und überprüfen Sie den Verbrauch jeder Anwendung. Legitime/echte Anwendungen sind darauf ausgelegt, so wenig Energie wie möglich zu verbrauchen, um die beste Benutzererfahrung zu bieten und Strom zu sparen. Ein hoher Akkuverbrauch kann daher darauf hindeuten, dass die Anwendung bösartig ist.

[Zurück zum Inhaltsverzeichnis]

Datennutzung verschiedener Anwendungen überprüfen:

Gehen Sie zu „Einstellungen“, scrollen Sie nach unten, bis Sie „Verbindungen“ sehen, und tippen Sie darauf.

Scrollen Sie nach unten, bis Sie „Datennutzung“ sehen, und wählen Sie diese Option. Wie beim Akku sind legitime/echte Anwendungen darauf ausgelegt, die Datennutzung so gering wie möglich zu halten. Das bedeutet, dass eine sehr hohe Datennutzung auf das Vorhandensein einer bösartigen Anwendung hindeuten kann. Beachten Sie, dass einige bösartige Anwendungen möglicherweise so konzipiert sind, dass sie nur funktionieren, wenn das Gerät mit einem drahtlosen Netzwerk verbunden ist. Aus diesem Grund sollten Sie sowohl die mobile als auch die WLAN-Datennutzung überprüfen.

Wenn Sie eine Anwendung finden, die viele Daten verbraucht, obwohl Sie sie nie verwenden, empfehlen wir Ihnen dringend, sie so schnell wie möglich zu deinstallieren.

[Zurück zum Inhaltsverzeichnis]

Neueste Software-Updates installieren:

Die Software auf dem neuesten Stand zu halten, ist eine bewährte Praxis für die Gerätesicherheit. Die Gerätehersteller veröffentlichen fortlaufend verschiedene Sicherheitspatches und Android-Updates, um Fehler und Schwachstellen zu beheben, die von Cyberkriminellen missbraucht werden können. Ein veraltetes System ist weitaus anfälliger, weshalb Sie stets sicherstellen sollten, dass die Software Ihres Geräts auf dem neuesten Stand ist.

Gehen Sie zu „Einstellungen“, scrollen Sie nach unten, bis Sie „Software-Update“ sehen, und tippen Sie darauf.

Tippen Sie auf „Updates manuell herunterladen“ und prüfen Sie, ob Updates verfügbar sind. Falls ja, installieren Sie diese sofort. Wir empfehlen außerdem, die Option „Updates automatisch herunterladen“ zu aktivieren - dadurch kann das System Sie benachrichtigen, sobald ein Update veröffentlicht wird, und/oder es automatisch installieren.

[Zurück zum Inhaltsverzeichnis]

System auf den Standardzustand zurücksetzen:

Das Durchführen eines „Zurücksetzens auf Werkseinstellungen“ ist eine gute Möglichkeit, alle unerwünschten Anwendungen zu entfernen, die Systemeinstellungen auf die Standardwerte zurückzusetzen und das Gerät allgemein zu bereinigen. Sie müssen jedoch bedenken, dass alle Daten auf dem Gerät gelöscht werden, einschließlich Fotos, Video-/Audiodateien, Telefonnummern (die auf dem Gerät und nicht auf der SIM-Karte gespeichert sind), SMS-Nachrichten usw. Mit anderen Worten: Das Gerät wird in seinen ursprünglichen Zustand zurückversetzt.

Sie können auch nur die grundlegenden Systemeinstellungen und/oder lediglich die Netzwerkeinstellungen zurücksetzen.

Gehen Sie zu „Einstellungen“, scrollen Sie nach unten, bis Sie „Telefoninfo“ sehen, und tippen Sie darauf.

Scrollen Sie nach unten, bis Sie „Zurücksetzen“ sehen, und tippen Sie darauf. Wählen Sie nun die Aktion aus, die Sie durchführen möchten:
„Einstellungen zurücksetzen“ - alle Systemeinstellungen auf die Standardwerte zurücksetzen;
„Netzwerkeinstellungen zurücksetzen“ - alle netzwerkbezogenen Einstellungen auf die Standardwerte zurücksetzen;
„Auf Werkseinstellungen zurücksetzen“ - das gesamte System zurücksetzen und alle gespeicherten Daten vollständig löschen;

[Zurück zum Inhaltsverzeichnis]

Anwendungen mit Administratorrechten deaktivieren:

Wenn eine bösartige Anwendung Administratorrechte erhält, kann sie das System ernsthaft beschädigen. Um das Gerät so sicher wie möglich zu halten, sollten Sie stets überprüfen, welche Apps über solche Rechte verfügen, und diejenigen deaktivieren, die sie nicht haben sollten.

Gehen Sie zu „Einstellungen“, scrollen Sie nach unten, bis Sie „Sperrbildschirm und Sicherheit“ sehen, und tippen Sie darauf.

Scrollen Sie nach unten, bis Sie „Andere Sicherheitseinstellungen“ sehen, tippen Sie darauf und tippen Sie dann auf „Geräteadministrator-Apps“.

Identifizieren Sie Anwendungen, die keine Administratorrechte haben sollten, tippen Sie darauf und tippen Sie dann auf „DEAKTIVIEREN“.

Häufig gestellte Fragen (FAQ)

Mein Android-Gerät ist mit Corp MDM Spyware infiziert. Sollte ich mein Speichergerät formatieren, um sie loszuwerden?

Eine Formatierung ist für die Entfernung von Malware in der Regel nicht notwendig. Die Verwendung seriöser mobiler Sicherheitssoftware wie Combo Cleaner sollte ausreichen, um Corp MDM auf Ihrem Gerät zu erkennen und zu entfernen.

Was sind die größten Probleme, die Corp MDM Spyware verursachen kann?

Corp MDM fängt jede eingehende SMS-Nachricht in Echtzeit ab, was bedeutet, dass Angreifer Einmalpasswörter für die Zwei-Faktor-Authentifizierung sammeln und sich Zugang zu Bankkonten, E-Mails und allen Diensten verschaffen können, die mit der Telefonnummer des Opfers verknüpft sind.

Die Malware kann außerdem alle eingehenden Anrufe an eine von den Angreifern kontrollierte Nummer weiterleiten. Zusammen machen diese Fähigkeiten unbefugten Kontozugriff und finanziellen Diebstahl zu sehr realistischen Folgen für betroffene Benutzer.

Was ist der Zweck von Corp MDM Spyware?

Corp MDM scheint in erster Linie darauf ausgelegt zu sein, Frachtdiebstahl zu unterstützen, indem die Kommunikation von Logistikmitarbeitern kompromittiert wird. Die meisten Cyberangriffe sind gewinnorientiert, Angreifer können jedoch auch durch Spionage, persönlichen Groll, Störungsabsichten oder umfassendere kriminelle Aktivitäten motiviert sein.

Wie ist Corp MDM Spyware auf mein Android-Gerät gelangt?

Corp MDM verbreitet sich über gefälschte Google Play Store-Seiten, die sich als Apps von CEVA Logistics und TKW Logistics ausgeben. Opfer werden angeleitet, eine APK direkt herunterzuladen und per Sideloading zu installieren. Android-Malware verbreitet sich außerdem häufig über Phishing-Links, App-Stores von Drittanbietern und gefälschte Software-Update-Aufforderungen.

Wird Combo Cleaner mich vor Malware schützen?

Combo Cleaner kann nahezu alle bekannten Malware-Infektionen erkennen und beseitigen. Ein vollständiger Systemscan ist unerlässlich, da raffinierte Bedrohungen dazu neigen, sich tief im Gerät einzunisten, um einer Erkennung zu entgehen.