Neue Malware-Kampagne nutzt soziale Medien-Anzeigen, um Benutzer zu täuschen
Eine neue Angriffswelle von Malware nutzt die Bekanntheit von sozialen Medien-Anzeigen, um Benutzer zu täuschen. Die Cyberkriminellen versprechen in den Anzeigen kostenlose Zugang zu Fernseh-Inhalten, aber dahinter verbirgt sich StreamRat, ein gefährliches Trojaner für Android, der fast vollständigen Zugriff auf das Gerät ermöglicht. Die Sicherheitsforscher von ThreatFabric haben die Kampagne entdeckt, die insbesondere in Spanien einen besonderen Einfluss hatte. Zwischen dem 11. Juni und dem 3. Juli 2026 erreichte ein derartiger manipulierter Anzeigentyp über Meta etwa 570.000 Benutzer.
Neue Malware-Kampagne nutzt soziale Medien-Anzeigen, um Benutzer zu täuschen
Die Täuschung beginnt mit einem Anzeigentyp, der einen angeblichen kostenlosen Streaming-Dienst für Fernseh-Inhalte anpreist. Wenn der Benutzer darauf klickt, landet er auf einer speziell vorbereiteten Webseite, die darauf abzielt, den Opfer zu täuschen. Die Seite überprüft, welches Gerät der Angreifer verwendet. Wenn es kein Android-Gerät ist, wird ein Fehler angezeigt, während Android-Nutzer Anweisungen erhalten, eine APK-App herunterzuladen. Der Prozess ist so gestaltet, dass er legitim wirkt und je nachdem, ob die Opfer von Facebook, Instagram, TikTok oder direkt über einen Browser kommen, ändert sich.
Das Ziel ist, den Benutzer dazu zu überreden, unbekannte Quellen herunterzuladen und dann die Anwendung Zugriff auf die Android-Zugriffsdienste zu gewähren. Hier beginnt die Situation zu komplizieren. Die heruntergeladene App funktioniert zunächst als ein Installationsprogramm, das das endgültige Malware-Programm auf das Gerät einfügt. Es kann sogar den Benutzer auffordern, die App als Startanwendung seines Geräts zu setzen, so dass der Startbutton schließlich ihre eigene Oberfläche anzeigt. Sobald StreamRat installiert und die notwendigen Berechtigungen erhalten hat, stellt es Kontakt mit seinen Servern her und beginnt, Informationen vom Telefon zu sammeln. Zu seinen Fähigkeiten gehört die Möglichkeit, das, was auf dem Bildschirm erscheint, zu überwachen und Nutzereingaben zu erfassen. Darüber hinaus enthält es verschiedene Mechanismen, mit denen die Angreifer das Gerät im Remote-Modus steuern können. Einer davon verwendet VNC zusammen mit der Android-Funktion zur Bildschirmausgabe. Es gibt jedoch einen stilleren Methoden, die die Zugriffsdienste von Android verwendet, um Aufnahmen ohne den üblichen Hinweis auf Aufnahme oder Übertragung des Bildschirms zu erstellen. Laut ThreatFabric kann dieser Mechanismus etwa jede 200 Millisekunde eine Aufnahme erstellen, was dem Angreifer eine fast live-Sicht auf das Gerät gibt. Das Malware-Programm reicht jedoch über das Aufspüren des Geräts hinaus. Es kann auch falsche Oberflächen über legitime Anwendungen legen, was insbesondere gefährlich ist, wenn die Opfer eine Bankapplikation öffnen. So können die Angreifer versuchen, sie zu täuschen, indem sie sie auffordern, ihre Zugangsdaten in eine von ihnen kontrollierte Oberfläche einzugeben. Darüber hinaus kann es fast die gesamte Bildschirmfläche mit einer schwarzen Überlagerung blockieren, sogar falsche Android-Update-Screens anzeigt, um den Benutzer zu überzeugen, dass sein Gerät aktualisiert wird.