Für Android wurde eine neue Malware-"Familie" in Umlauf gebracht. Kemoge wird über Werbenetzwerke und In-App-Werbeanzeigen verteilt und rootet das Gerät. Anschließend werden bestimmte Apps wie Virenscanner gelöscht. Momentan ist nicht bekannt, wie man die Malware wieder los wird.
Die Sicherheitsfirma Fireeye berichtet von einer neuen Malware-"Familie" für Android-Geräte, die besonders fies zur Sache geht.
Besonders fiese Android-Malware befindet sich im Umlauf
Kemoge wird über "aggressive Werbenetzwerke" und In-App-Werbeanzeigen verteilt. Wer Apps von inoffiziellen App-Stores herunterlädt, läuft Gefahr, sein Android-Gerät mit der Malware zu infizieren. Diese ist etwa in Apps wie Wifi Enhancer, Calculator, Talking Tom 3 und Kiss Browser zu finden. Hinter den Icons dieser beliebten Apps kann sich die Schadsoftware verstecken. Diese "gefälschten Apps" werden über Werbung beworben. Wer diese Werbung anklickt, weil er die App herunterladen will, der landet in einem App-Store und lädt sich dort unwissentlich die Malware auf das Gerät.
Ist die Schadsoftware dann installiert, sammelt sie Informationen und sendet diese an einen Command-and-Control-Server. Nun wird Werbung auf dem infizierten Gerät angezeigt, die bis zu Pop-Ups auf dem Homescreen reicht. Dann wird ein verschlüsselter Payload als eine als .mp4-Datei getarnte, passwortgeschützte Zip-Datei heruntergeladen und automatisch entpackt. Enthalten sind acht Root-Verfahren, über welche das Gerät gerootet wird. Jetzt setzt sich die Malware permanent im System fest und ersetzt den App-Launcher. Von dort aus nimmt die Software immer wieder Kontakt zum Command-and-Control-Server auf. Über diesen bekommt sie Befehle, bestimmte Apps wie Anti-Viren-Software zu löschen oder neue Apps zu installieren.
Momentan steht noch nicht fest, wie man die Kemoge-Malware wieder entfernen kann. Da sie im /system festsitzt soll ein Factory-Reset des infizierten Android-Geräts nichts bringen. Ein Flash des Geräts mit anschließender Neuinstallation des Betriebssystems Android könnte helfen, doch dazu gibt es noch keine Bestätigungen.
Quelle: Gulli
