Erstmals warnte der Sicherheitsforscher Lukas Stefanko vor dieser neuen Malware. Sie soll nicht nur auf die WhatsApp-Historie sowie deine Kontaktdaten zugreifen, sondern außerdem auch die Kontrolle über deine Handy-Kamera übernehmen können. Die G DATA Software AG, ein Unternehmen für IT-Sicherheit, hat die Android Spyware genauer unter die Lupe genommen. Der Name des Übeltäters lautet „Android.Trojan-Spy.Buhsam.A“.

Trojaner in Ausbildung

Wie G DATA berichtet, scheint die Malware sich bislang jedoch entweder noch in der Entwicklung zu befinden, oder sie ist schlichtweg „schlecht programmiert“. Herkömmliche Schadsoftware setzt alles daran, nicht entdeckt zu werden. Dieser neue Trojaner hingegen sendet Nutzern sogar die Meldung „Service Started“, sobald diese die entsprechenden Dienste gestartet haben. Die Sicherheitsexperten erklären, es könne passieren, dass unfertige Viren in Umlauf geraten. Zum Teil gehe dies auf unvorsichtige Autoren zurück zum anderen könne es jedoch auch an Tools liegen, mit denen die Entwickler ihre Programme testen.

Spyware verwendet Websockets statt http

Im Gegensatz zu diversen ähnlichen Programmen baut „Android.Trojan-Spy.Buhsam.A“ die Verbindung zu dem C&C-Server, an den es sendet, nicht via http auf. Stattdessen greift der Trojaner auf sogenannte Websockets zurück, um die Verbindung länger halten zu können. Für die Autoren der Software bringt das einen klaren Vorteil mit sich, denn die Vorgehensweise erleichtert nicht nur die Kommunikation mit dem befallenen Gerät, sondern spart zudem an der Übermittelung von Header-Dateien. Der dadurch gering gehaltene Verbrauch an Datenvolumen kann einem Virus die Tarnung um einiges erleichtern.

Mehr zum Thema:

Je nach Größe der Informationsfülle, die das befallene Smartphone hergibt, kann der Spion verschiedene Module laden. Auf diese Weise gelingt es der Malware unter anderem die gesamte WhatsApp-Datenbank auszulesen und an den entsprechenden C&C-Server des Angreifers zu übermitteln. Einen weiteren Hinweis auf den Enwicklungsstatus der Spyware bietet übrigens die Tatsache, dass er zwar auch Browserdaten abgreifen kann, hier jedoch lediglich auf die gesetzten Lesezeichen zugreift.

Dafür fragt er beim Smartphone des Opfers ein JSON-Objekt an und könnte so mit fortgeschrittenem Entwicklungsstand neben den Lesezeichen unter anderem Daten wie den Browserverlauf auslesen. Die gespeicherten Kontakte des Nutzers kann die Schadware jedoch bereits in ihrer derzeitigen Phase abgreifen.