Der brandgefährliche Android-Trojaner FluBot ist zurück. Kriminelle greifen derzeit gezielt Schweizer Handy-Nutzerinnen und Nutzer an. Hierzu versenden sie massenhaft Spam-SMS an hiesige Mobilfunknummern. In den Kurznachrichten ist jeweils von einem verpassten Anruf, beziehungsweise einer Sprachnachricht die Rede, die man abhören könne.
Android blockiert die Installation von Apps aus unbekannten Quellen. Nutzerinnen und Nutzer haben allerdings die Möglichkeit, diesen Schutzmechanismus manuell zu umgehen. Dies ist grundsätzlich sinnvoll, da die User stets die Möglichkeit haben sollen, Apps aus alternativen App-Stores, bzw. von vertrauenswürdigen Webseiten zu installieren. So funktioniert nun mal ein offenes und freies Internet. Allerdings machen sich die Kriminellen genau dies zunutze und versuchen ihre Opfer dazu zu verleiten, den Schutzmechanismus selbst ausser Kraft zu setzen.
Den Opfern wird also vorgegaukelt, sie müssten eine neue Voicemail-App von der Webseite ihres Mobilfunkproviders herunterladen. Tatsächlich aber handelt es sich um einen gefährlichen E-Banking-Trojaner. Grund zur Panik gibt es dennoch nicht: Wer sich an die offiziellen App-Stores von Google, Samsung, Huawei oder anderen vertrauenswürdigen Anbietern hält, kann sich den E-Banking-Trojaner nicht einfangen.
Da die Malware auf iOS-Geräten nicht installiert werden kann, leitet die URL iPhone-User beim Aufrufen auf betrügerische Phishing- und Werbewebseiten weiter. Dort lauern Abofallen, Angebote für dubiose Geldanlagen oder andere Schadsoftware.
Bei der Schadsoftware handelt es sich um den Trojaner FluBot, den es seit Ende 2020 gibt. Die Malware greift Namen und Telefonnummern der Kontakte im Adressbuch, SMS, Kredit- und Bankdaten sowie andere private Informationen ab.
FluBot wurde in der Schweiz erstmals im Juni dieses Jahres in grösserem Stil beobachtet. Die Kantonspolizei Zürich warnte Android-User damals wie folgt:
Zwecks Weiterverbreitung greift FluBot die im Adressbuch des Opfers gespeicherten Kontaktdaten ab. Die Kriminellen wollen aber in erster Linie ans Geld der Ahnungslosen. Hierzu fängt der Trojaner Eingaben in Apps wie E-Banking, Kreditkartenformularen, Bitcoin-Wallets oder auch wichtigen E-Mail-Apps wie Gmail ab.
Die Kriminellen verbreiten den Trojaner vermutlich zunächst über SMS-Wegwerfnummern, die einen Schweizer Absender vortäuschen. Gelingt es FluBot, sich auf Smartphones einzunisten, verbreitet er sich wurmartig weiter, indem er weitere betrügerische Spam-SMS an die Kontakte im Adressbuch sendet. Da die SMS aus Sicht der Empfängerinnen und Empfänger von einer bekannten Nummer kommt, steigt das Risiko, dass weitere Opfer auf die Masche hereinfallen. Zum Teil enthalten die Betrugs-SMS gar eine persönliche Anrede. Das weckt zusätzlich Vertrauen und erhöht das Risiko, dass weitere Geräte mit Malware infiziert werden.
Ausserdem ist FluBot so konzipiert, dass es für Mobilfunkprovider schwierig ist, seine Verbreitung vollständig zu blockieren, wie die IT-Sicherheitsexperten von Switch in einem Blog-Beitrag erklären. Werden die Spam-SMS gemeldet, kann der Zugriff auf die bösartigen Webseiten aber relativ rasch von den Providern blockiert werden. Ausserdem werden die Spam-SMS so von Google erkannt und mit einer Warnung versehen.
Der FluBot-Trojaner ist in diversen Ländern aktiv. Die Kriminellen versuchen die Handy-User mit immer neuen Tricks zu überlisten. Neuerdings gibt sich der Trojaner beispielsweise gar als Sicherheits-Update für Android aus. Dabei warnt FluBot die User vor einer angeblichen Infektion mit einem Trojaner. Wer das angebliche Sicherheits-Update installiert, fängt sich den Trojaner ein.
Get it?! The #FluBot virus pretends to be a (fake) #security update against itself. pic.twitter.com/it6lviWEVR
— Jozsef Makay (@MakayJozsef) October 11, 2021
Hat der Trojaner in einem Land eine gewisse Verbreitung erreicht, ist es wahrscheinlich, dass er von einem anderen infizierten Mobiltelefonen aus verschickt wurde. Die Handy-Nummer und weitere Informationen wie der Name oder die Wohnadresse können auch aus früheren Datenlecks bei Facebook, LinkedIn, Clubhouse etc. stammen. Denkbar wäre zudem, dass die Kriminellen zufällig Schweizer Mobilfunknummern generieren und massenhaft durchprobieren.
Die Polizei rät:
Danke für die Information/Aufklärung! :)