Sicherheitsforscher von Cleafy haben einen neuen, besonders hinterhältigen Remote-Access-Trojaner (RAT) entdeckt, der es auf Geräte mit Android-Betriebssystem abgesehen hat. Sein Name: BingoMod. Er führt sogenannte Overlay-Angriffe aus und ermöglicht den Fernzugriff auf die befallenen Geräte über eine Art Virtual Network Computing (VNC). Einmal auf dem Android-Gerät, versucht der RAT an Geld zu gelangen. Dafür späht er sensible Daten aus, um damit Accounts übernehmen zu können.

Entdeckt wurde der Trojaner bereits im Mai 2024. Er kann Authentifizierungs-, Verifizierungs- und Verhaltenserkennungsschutzmaßnahmen umgehen, indem er On-Device-Fraud (ODF) durchführt, wie dies auch bei anderen Banking-Trojanern wie Medusa, Copybara und Teabot der Fall ist. Besonders hinterhältig bei BingoMod: Er versteckt sich hinter legitimen Anwendungen und gibt sich oft als Sicherheits-App, wie beispielsweise „APP Protection“, „AVG AntiVirus & Security“ oder „WebSecurity“, aus, um die nichtsahnenden Nutzer zum Herunterladen und zur Installation zu bewegen.

Den Sicherheitsforschern von Cleafy zufolge verlangt BingoMod nach der Installation Zugriff auf Accessibility Services, um aktiv werden zu können und den schädlichen Payload auszuführen. Er liefert seinen Betreibern so sensible Daten durch Key-Logging, bei dem Zugangsdienste ausgenutzt werden, um Anmeldedaten oder Kontostände zu stehlen. Auch die per SMS verschickten TAN-Nummern werden abgefangen und an die Hintermänner weitergeleitet. Außerdem stellt sie eine socket-basierte Verbindung für den ODF her.

BingoMod bietet aktuell rund 40 Fernsteuerungsfunktionen, darunter Bildschirmsteuerung in Echtzeit durch VNC-ähnliche Routinen und Bildschirminteraktion. Sie nutzt die Media Projection API von Android, um Screenshots des Bildschirms zu erstellen und so einen umfassenden Überblick zu erhalten. Die Hacker können beliebige Befehle an die betroffenen Geräte senden, wodurch sie Banking-Apps angreifen und bis zu 15.000 Euro pro Transaktion stehlen können. Außerdem ermöglicht BingoMod seinen Betreibern den Versand von SMS, wodurch die Malware potenziell weiterverbreitet werden könnte.

Einfach entfernen lässt sich die Malware nicht mehr, wenn sie einmal auf einem Gerät Fuß gefasst hat, da Benutzer daran gehindert werden, Systemeinstellungen zu bearbeiten, bestimmte Anwendungen zu blockieren und Anwendungen zu deinstallieren. Um seine Spuren zu verwischen, setzt BingoMod Code-Verschleierungstechniken ein, die es Sicherheitssoftware erschweren, sie zu erkennen. Einige Varianten der Malware können die Daten des Geräts durch einen Werksreset löschen, um Beweise für den Diebstahl zu beseitigen – eine Taktik, die an die Brata-Malware erinnert, aber nicht direkt mit ihr verbunden ist.

BingoMod zielt derzeit auf Geräte in englischer, rumänischer und italienischer Sprache ab. Die Sicherheitsforscher gehen davon aus, dass sich die Malware noch in der Entwicklungsphase befindet und die Betreiber mit Verschleierungstechniken experimentieren, um die Erkennungsraten von Antivirenlösungen zu senken.

Das verheißt nichts Gutes für die Zukunft. Android-Nutzer sollten daher besonders vorsichtig sein, nur Apps aus dem offiziellen Google Play Store installieren und auf Apps von anderen Webseiten verzichten. Auch bei den geforderten Berechtigungen sollte man vorsichtig sein und genau überlegen, ob eine App die geforderten Rechte zum Betrieb auch tatsächlich braucht. Zusätzlich ist es sinnvoll, eine verlässliche Sicherheitssoftware zu installieren und regelmäßig Updates durchzuführen.

Über die 8com GmbH & Co. KG

Über die 8com GmbH & Co. KG

Das 8com Cyber Defense Center schützt die digitalen Infrastrukturen seiner Kunden effektiv vor Cyberangriffen. Dazu vereint 8com zahlreiche Managed Security Services wie Security Information and Event Management (SIEM), Endpoint Detection and Response (EDR) mit Incident Response und Vulnerability Management unter einem Dach. Verschiedene Penetrationstests und Security-Awareness-Leistungen runden das Angebot ab.

8com gehört zu den führenden Anbietern von Awareness-Leistungen und Informationssicherheit in Europa. Seit 18 Jahren ist das Ziel von 8com, Kunden bestmöglich vor Cyberangriffen zu schützen und gemeinsam ein ökonomisch sinnvolles, aber trotzdem hohes Informationssicherheitsniveau zu erzielen. Durch die einzigartige Kombination aus technischem Know-how und direkten Einblicken in die Arbeitsweisen von Cyberkriminellen können die Cyber-Security-Experten bei ihrer Arbeit auf fundierte Erfahrungswerte zurückgreifen.

Firmenkontakt und Herausgeber der Meldung:

8com GmbH & Co. KG
Europastraße 32
67433 Neustadt an der Weinstraße
Telefon: +49 (6321) 48446-0
Telefax: +49 (6321) 48446-29
http://www.8com.de

Ansprechpartner:
Felicitas Kraus
Pressereferentin
Telefon: +49 (30) 30308089-14
E-Mail: kraus@quadriga-communication.de
Julia Olmscheid
Head of Communications
Telefon: +49 6321 484460
E-Mail: redaktion@8com.de
Für die oben stehende Story ist allein der jeweils angegebene Herausgeber (siehe Firmenkontakt oben) verantwortlich. Dieser ist in der Regel auch Urheber des Pressetextes, sowie der angehängten Bild-, Ton-, Video-, Medien- und Informationsmaterialien. Die United News Network GmbH übernimmt keine Haftung für die Korrektheit oder Vollständigkeit der dargestellten Meldung. Auch bei Übertragungsfehlern oder anderen Störungen haftet sie nur im Fall von Vorsatz oder grober Fahrlässigkeit. Die Nutzung von hier archivierten Informationen zur Eigeninformation und redaktionellen Weiterverarbeitung ist in der Regel kostenfrei. Bitte klären Sie vor einer Weiterverwendung urheberrechtliche Fragen mit dem angegebenen Herausgeber. Eine systematische Speicherung dieser Daten sowie die Verwendung auch von Teilen dieses Datenbankwerks sind nur mit schriftlicher Genehmigung durch die United News Network GmbH gestattet.

counterpixel