Dvmap: Diese Malware lässt sich so leicht nicht abschütteln

Eine noch unbekannte Liste an Apps im Play Store scheint von einer schwer erkennbaren Malware betroffen zu sein. Die Malware, derzeit von Kaspersky als Dvmap bezeichnet, selbst befindet sich noch in ihrer Entwicklungsphase und trägt an sich noch keine schädlichen Funktionen. Dennoch kann sie infizierte Android-Smartphones jederzeit mit Schadcode beliefern, der dann zentral koordiniert ausgeführt wird.

Die Malware-Experten von AV-Test, um genau zu sein Android-Security-Teamleiter Marcel Wabersky erklärt uns, was an der Malware neu ist und warum wir uns auf eine neue Qualität der Bedrohung einstellen sollten. Er hatte das Sample, das Kaspersky beschreibt, bereits in seiner Datenbank.

"Der Trojaner kombiniert verschiedene Angriffe wie das Rooten des Gerätes, nativen Code (Binaries) und Apps (Service). Diese 3 Szenarien sind seit längerem bekannt. Das Patchen einer ganzen nativen Android-Bibliothek (für 32 und 64 Bit), so wie es Dvmap macht, ist aber von anderer Qualität.

Die von der Malware benutzten Assets geben vor, PNG-Dateien zu seien, sind im Endeffekt aber codierte Binaries oder Skripte, ein Dateicheck lässt sich damit täuschen. Auch dies wurde früher schon gemacht um sich zu tarnen."

Bis zu diesem Zeitpunkt könnte man sich mit Malware-Erkennungs-Apps noch vor dem Trojaner schützen, denn "die Hashes von nativer Malware können von den meisten Android-Scannern erkannt werden." Doch durch die Beschaffenheit von Dvmap-Malware sind Malware-Schutz-Apps höchstens zur Vorbeugung geeignet.

"Hat sich die Malware allerdings fest im System einklinkt und Systemrechte erlangt, ist es für die Virenscanner durch das Rechtesystem unmöglich, sie dort unschädlich zu machen. Mit Systemrechten ausgestattete Malware lässt sich durch den Nutzer nur schwer vom System entfernen. Hier hilft nur, das System neu einzuspielen, um auf der sicheren Seite zu sein."

Dies liegt daran begründet, dass Anti-Malware-Apps aufgrund des so genannten Sandboxings andere Apps nicht berühren dürfen. Selbst mit Administratorrechten geht dies nicht. Lediglich Google könnte aus der Ferne die Malware von Eurem Gerät löschen. Dies setzt jedoch voraus, dass die Malware die dem zu Grunde liegende Mechanik nicht ausgehebelt hat.

Das System neu einzuspielen, dürfte für etliche Laien eine große Herausforderung darstellen, da dies eines PCs und einiger Software bedarf, mit der die wenigsten Nutzer je hantieren. Noch schwieriger wird es allerdings sein, überhaupt herauszufinden, wann ein Gerät von Dvmap-basierter Malware betroffen ist.

Bislang sind den Malware-Experten nur wenige Muster auf den Labortisch gebracht worden. Teil des Malware-Designs ist es, sich vor den automatischen Scan-Methoden zu verstecken und nur zeitweise infizierte Versionen der Apps im Play Store anzubieten. So kann es beliebig lang dauern, bis eine vollständige Liste entsprechender Apps vorliegt. Bis dahin tappen wir einfach im Dunkeln.

Die infizierten Apps selbst machen derzeit noch nichts. Bis jetzt nisten sie sich lediglich in Smartphones ein und stellen eine Verbindung zu ihren Schöpfern her. So bereiten die Autoren ein Botnet aus hunderttausenden Smartphones vor. Auf dem Schwarzmarkt ist der Zugriff darauf viel Geld wert, schließlich lassen sich damit größere Denial-of-Service-Attacken starten, etwa um Websites oder -Dienste außer Gefecht zu setzen und verwundbar zu machen.

Wir werden weiter verfolgen, mit welchen Schutzmechanismen das Android-Ökosystem noch aufwartet, um unsere Geräte vor derlei Missbrauch zu wappnen. Bis dahin könnt Ihr gerne einen Kommentar hinterlassen mit Euren Erfahrungen mit Android-Malware.