Hirudo macht den Tipp „App prüfen“ nutzlos – entscheidend ist die Quelle

„Achten Sie darauf, dass die App richtig aussieht“ gehört seit Jahren zu den Standardtipps für mehr Sicherheit. Nun versuchen Sie einmal, ihn zu befolgen, wenn die Malware selbst Ihre echte Banking-App löscht und eine Kopie installiert, die sich genauso verhält. Das ist die unbequeme Lehre aus Hirudo.

Laut CHIPs Bericht über die Erkenntnisse von ThreatFabric tarnt sich Hirudo als Shopping-, Unterhaltungs- oder Kurzvideo-App. Nach der Installation fordert sie unter einem Vorwand Berechtigungen an, darunter die Bedienungshilfen. Anschließend entfernt sie die originale Banking-App, lädt eine modifizierte Version herunter und installiert sie. ThreatFabric hat bislang Kopien von acht Banking-Apps entdeckt.

Die manipulierte App sieht dem Original weitgehend ähnlich. Den Berichten zufolge können Angreifer Banking-Passwörter, Zahlungs- und Geräte-PINs, SMS-Nachrichten und Bildschirminhalte abgreifen und sogar Kamera und Mikrofon missbrauchen. Die ersten Fälle betrafen indonesische Banking-Apps, mit Hinweisen auf Angriffe auf Finanzinstitute in China, Indien, Mexiko, Marokko und Thailand. Die Zahl der Opfer ist unbekannt, soll aber in die Tausende gehen.

Die Prüfungen, denen wir vertrauten, werden umgangen

Das Beunruhigende ist nicht die gefälschte App. Gefälschte Apps sind nichts Neues. Beunruhigend ist, dass ein integrierter Hooking-Mechanismus Berichten zufolge Signaturprüfungen, Kontrollen der Bedienungshilfen und Play-Integrity-Abfragen umgehen kann – genau die Schutzvorkehrungen, von denen wir erwarten, dass sie Manipulationen erkennen. Eine Bank kann „meine echte App“ nicht ohne Weiteres von „einer Kopie, die wie meine echte App antwortet“ unterscheiden, wenn alles, worauf die Prüfung beruht, auf dem kompromittierten Smartphone läuft.

Für Nutzer reichen die alten Tipps („auf das Icon achten“, „den Namen prüfen“, „sicherstellen, dass es die richtige Version ist“) nicht mehr aus. Ein weiterer Bericht, shattered.io, nennt sogar an, dass der Ersatz denselben Namen und dieselbe Version wie das Original trägt. Wir halten diesen Rat für diese Art von Bedrohung für überholt. Eine App lässt sich nicht mit bloßem Auge überprüfen, wenn der Angreifer kontrolliert, was man sieht.

Wo die eigentliche Verteidigung liegt: vor der Installation

Wenn man der App im Nachhinein nicht trauen kann, zählt die frühere Entscheidung: was man auf das Smartphone lässt. Hirudo beginnt nicht mit einer Banking-App. Es beginnt mit einer harmlos wirkenden Shopping- oder Video-App und damit, dass der Nutzer den Zugriff auf die Bedienungshilfen gewährt. Deshalb sagen wir es deutlich:

• Nur aus offiziellen Quellen installieren. Keine APK-Dateien aus unbekannten Stores öffnen, so gut das Angebot auch klingt.
• Die Anfrage einer Shopping- oder Video-App nach der Berechtigung für die Bedienungshilfen als Warnsignal werten. Unsere Meinung: Braucht eine beiläufige App sie, sollte man die App löschen.
• Das Gerät aktuell halten und regelmäßig Play-Protect-Scans durchführen, wie es der CHIP-Beitrag empfiehlt.

Nichts davon ist glamourös, und Play Protect ist kein Wundermittel. Aber unserer Ansicht nach sind dies die Gewohnheiten, die wirken, bevor der Schaden entsteht. Wir verlassen uns lieber auf eine langweilige Gewohnheit als auf die Selbstprüfung einer Banking-App.

Banken müssen die Prüfung vom Smartphone verlagern

Die Empfehlung an die Banken ist der aufschlussreichste Teil: Sicherheitsprüfungen an die Serverseite und an einzelne Transaktionen zu koppeln. Wir verstehen das als stillschweigendes Eingeständnis, dass Prüfungen allein auf dem Gerät nicht standhalten. Unserer Ansicht nach geht die Branche genau in diese Richtung, und Nutzer sollten sich wohl auf mehr Bestätigungsschritte bei Zahlungen einstellen. Lästig, ja – aber besser als eine gefälschte Zahlungsseite, die „Erfolg“ anzeigt, nachdem sie Ihre Daten abgegriffen hat.

Die Installationsquelle ist das Schloss an der Tür

Bei Verdacht auf eine Infektion lautet der von CHIP zitierte Rat des BSI, zuletzt installierte Apps zu prüfen und diese zuerst zu löschen. Danach folgt ein Scan mit einem aktuellen Virenschutz, dann ein Versuch im abgesicherten Modus, und als letztes Mittel das Zurücksetzen auf die Werkseinstellungen – weshalb Backups wichtig sind. Vorbeugung ist aber weit günstiger. Die Installationsquelle ist das Schloss an der Tür und keine Frage des Geschmacks. Hirudo zeigt: Ist etwas erst einmal drin, sagt „sieht gut aus“ gar nichts.