Experten haben eine gefälschte Telegram Premium Android-App entdeckt, die über eine Phishing-Seite verteilt wird, die vorgibt, ein russischer App Store zu sein. Diese Malware ist in der Lage, alle Arten von sensiblen Informationen abzufangen.

Cybersicherheitsforscher von CyFirma haben kürzlich eine neue informationsstehlende Malware entdeckt, die sich als eine der beliebtesten Messaging-Apps ausgibt. Die Forscher erklären, wie während des Beginns der russischen Invasion der Ukraine im Jahr 2022 der Westen schwere Sanktionen gegen Putins Regime verhängte. Diese Sanktionen führten dazu, dass Russen keinen Zugriff auf den Google Play Store oder den Apple App Store hatten. Um den russischen Bürgern den Zugang zu mobiler Software zu ermöglichen, erstellte das russische Ministerium für digitale Entwicklung zusammen mit VK (einer Social-Media-Plattform des Landes und im Wesentlichen ein Facebook-Klon) RuStore, einen mobilen App-Marktplatz.

CyFirma behauptet nun, dass jemand Phishing-Websites auf GitHub erstellt hat, die wie RuStore aussehen. Opfer, die die Website besuchen, erhalten zunächst ein Dropper-Modul namens GetAppsRu.apk, das installierte Apps auflistet, auf den Gerätespeicher zugreift und zusätzliche Pakete installiert. Eines der zusätzlichen Pakete ist die Hauptmalware namens Telegram Premium.apk, auch FireScam genannt. Diese Malware fordert Berechtigungen an, um Benachrichtigungen, Zwischenablage-Daten, SMS und mehr zu überwachen. Sie zeigt außerdem eine gefälschte Telegram-Login-Seite an, um die Anmeldedaten zu stehlen.

FireScam überwacht auch App-Aktivitäten, die Zwischenablage, sucht nach E-Commerce-Transaktionen und allem anderen, das nützlich sein könnte. Die Daten werden dann auf einen Drittanbieter-Server extrahiert, gefiltert und an anderer Stelle übertragen. Nichtig erachtete Informationen werden gelöscht. CyFirma konnte FireScam keinem bekannten Bedrohungsakteur zuordnen, beschrieb die Operation jedoch als „sophistizierte und vielschichtige Bedrohung“, die „fortschrittliche Ausweichtechniken“ verwendet. Es wurde keine Angabe zur Anzahl potenzieller Opfer gemacht. Es wurde auch empfohlen, vorsichtig zu sein, wenn Dateien von Quellen geöffnet werden, mit denen man nicht vertraut ist, oder potenziell gefährliche Links zu öffnen. Via BleepingComputer.