Android-Trojaner tarnt sich als SSL-Zertifikats-App

Das IT-Newsportal heise Security berichtet von einer Malware-Kampagne, bei der gezielt Postbank-Kunden angegriffen werden. Eine angebliche "SSL-Zertifikats-App", die vorgibt, von der Postbank zu stammen, entpuppte sich bei Analysen der heise-Fachjournalisten als Android-Trojaner, der unter anderem für das Online-Banking verwendete PINs und mTANs ausspioniert.

Heise Security wurde durch eine Reihe von Leser-Hinweisen auf die Malware-Kampagne aufmerksam. Betroffene Leser erhielten E-Mails, die vorgeblich von der Postbank stammen und zur Installation einer "SSL-Zertifikat App" auffordern. Dieser wurde von heise analysiert und die Ergebnisse nun in einem Artikel veröffentlicht. Nach Ansicht der heise-Analysten handelt es sich bei der angeblichen Zertifikats-App um einen auf das Mitlesen von Online-Banking-Daten spezialisierten Android-Trojaner.

"Wir erinnern Sie, dass ab dem 25 April die Nutzung des mobilen TAN-Service nur mit der SSL-Zertifikat App möglich ist", heißt es in der Mail mit dem Betreff "Extended Validation-Zertifikate (EV-SSL-Zertifikat) im Android" die angeblich von "kundenservice@postbank.de" stammt. Was geschieht, wenn der mitgeschickte Link besucht wird, hängt vom verwendeten Betriebssystem ab. Wird die verlinkte Website mit einem PC, Mac oder iOS-Gerät besucht, erfolgt lediglich die knappe Meldung, das Zertifikat sei erfolgreich installiert worden.

Anders sieht es jedoch aus, wenn für den Website-Besuch ein Mobilgerät mit Googles Betriebssystem Android verwendet wird. Dann nämlich erscheint ein ausführlicher Text zu "Extended Validation-Zertifikaten" mit der Aufforderung, eine spezielle App zu installieren, um sein Online-Banking zu schützen. Die Anleitung erklärt eigens, wie in den Einstellungen des Smartphones oder Tablets die Installation von Apps aus unbekannten Quellen freigeschaltet werden kann. Die dabei auftauchende Sicherheitswarnung könne man ignorieren: "Die EV-SSL-Zertifikat App ist sicher" heißt es da in fett und rot. Zum Abschluss der Installation wird dann ganz dreist die PIN des Online-Banking-Zugangs angefordert – angeblich für die "Authentifizierung des EV-SSL-Zertifikat[s] mit der Bank".

So sicher und harmlos wie angegeben ist die App allerdings keineswegs. Sie überträgt direkt nach Installation Telefonnummer und IMEI an einen Command-and-Control-Server in den USA. Heise vermutet, dass auch später eigegebene Banking-Daten wie PINs und mTANS an diese Server weitergeleitet werden.