Godfather Mobile Malware

Eine verbesserte Version der berüchtigten Android-Malware Godfather sorgt in der Cybersicherheitswelt für Aufsehen. Durch die Bereitstellung isolierter virtueller Umgebungen auf infizierten Geräten ermöglicht diese heimliche Malware nun Echtzeit-Spionage, Diebstahl von Anmeldeinformationen und Finanzbetrug – und das alles unter dem Deckmantel legitimer Banking-Apps.

Virtuelle Welten für realen Diebstahl

Die aktualisierte Godfather-Malware nutzt ein Virtualisierungsframework, das in eine scheinbar harmlose APK-Datei eingebettet ist. Nach der Installation prüft sie das Vorhandensein von über 500 potenziellen Ziel-Apps, darunter Banking-, Kryptowährungs- und E-Commerce-Plattformen, und verschiebt diese in eine virtuelle Umgebung. Dieses Setup imitiert eine Taktik, die 2023 von FjordPhantom verwendet wurde, geht aber in Umfang und Raffinesse weit darüber hinaus.

Im Gegensatz zu herkömmlicher Android-Malware nutzt Godfather die Virtualisierung, um Ziel-Apps in kontrollierten Containern auszuführen und ermöglicht so:

• Diebstahl von Anmeldeinformationen in Echtzeit und Abfangen von Backend-Antworten
• Nahtlose visuelle Nachahmung legitimer Apps
• Umgehung der integrierten Sicherheitsmechanismen von Android

Unsichtbare Übernahme durch StubActivity

Ein kritischer Teil dieser Täuschung ist die Verwendung von StubActivity, einem Platzhalter innerhalb der Malware, der virtualisierte Apps startet, ohne eine echte Benutzeroberfläche oder eigene Logik preiszugeben. Versucht das Opfer, auf seine legitime Banking-App zuzugreifen, fängt Godfather die Aktion mithilfe seiner Zugriffsberechtigungen ab und leitet sie an den virtuellen Container um. Dadurch wird die echte App-Oberfläche angezeigt und gleichzeitig die volle Kontrolle über die Benutzerinteraktionen erlangt.

Mit diesem Trick wird Android vorgegaukelt, dass eine sichere Anwendung ausgeführt wird, während alle sensiblen Aktionen, von der Eingabe einer PIN bis zur Bestätigung von Transaktionen, überwacht und entführt werden.

Unter der Haube: Werkzeuge und Techniken

Um seine komplexen Vorgänge durchzuführen, verlässt sich Godfather auf eine Mischung aus Open-Source-Technologien und cleverer Technik:

VirtualApp-Engine – ermöglicht die Erstellung isolierter Container.

Xposed Framework – greift auf Android-APIs zu, um Eingaben und Antworten aufzuzeichnen.

Intent-Spoofing – kapert Befehle, die für legitime Apps bestimmt sind, und leitet sie um.

Virtuelles Dateisystem und Prozess-IDs – unterstützt nahtlose Umgebungsreplikation.

In entscheidenden Momenten überlagert die Malware gefälschte Sperrbildschirme oder Aktualisierungsbildschirme, um Benutzer zur Eingabe vertraulicher Anmeldeinformationen aufzufordern, die dann an die Angreifer weitergeleitet werden.

Ein Rückblick: Die Entwicklung von „Der Pate“

Godfather tauchte erstmals im März 2021 auf und hat sich seitdem deutlich weiterentwickelt. In der Version vom Dezember 2022 zielte die Malware mit HTML-Overlay-Angriffen auf 400 Apps in 16 Ländern ab. Die aktuelle Version hingegen nutzt vollständige Virtualisierung und erweitert ihre Reichweite auf über 500 Apps weltweit. Während sich die jüngste Kampagne offenbar auf ein Dutzend türkischer Banken konzentriert, ist die Infrastruktur für eine globale Expansion vorhanden.

So bleiben Sie geschützt

Um das Risiko zu verringern, Opfer fortgeschrittener Bedrohungen wie Godfather zu werden, sollten Benutzer die folgenden bewährten Vorgehensweisen zur Cybersicherheit befolgen:

• Sicher herunterladen
• Installieren Sie nur Apps von Google Play oder vertrauenswürdigen Quellen.
• Vermeiden Sie das Sideloading von APKs, es sei denn, der Herausgeber ist seriös und verifiziert.
• Üben Sie App-Wachsamkeit
• Lassen Sie Google Play Protect aktiviert.
• Überwachen Sie App-Berechtigungen, insbesondere Anfragen für Eingabehilfedienste.
• Seien Sie misstrauisch bei unerwarteten Sperrbildschirmen oder Update-Aufforderungen.

Die neueste Version von Godfather signalisiert einen Trend hin zu komplexeren mobilen Bedrohungen, die die Grenze zwischen bösartigen Aktivitäten und legitimem App-Verhalten verwischen. Informiert bleiben und vorsichtig sein ist die erste Verteidigungslinie.