Neue Android-Spyware ClayRat täuscht Nutzer mit gefälschten Apps

MOSKAU / LONDON (IT BOLTWISE) – Eine neue Android-Spyware namens ClayRat zielt auf russische Nutzer ab, indem sie sich als beliebte Apps wie WhatsApp und TikTok ausgibt. Die Malware wird über Telegram-Kanäle und täuschend echte Websites verbreitet.

Die jüngste Bedrohung für Android-Nutzer kommt in Form der Spyware ClayRat, die sich als bekannte Apps wie WhatsApp, TikTok und YouTube tarnt. Diese Malware zielt speziell auf russische Nutzer ab und verbreitet sich über Telegram-Kanäle sowie scheinbar legitime Websites. Die Gefahr besteht darin, dass sie in der Lage ist, SMS-Nachrichten, Anrufprotokolle und Benachrichtigungen zu stehlen, Fotos zu machen und sogar Anrufe zu tätigen.

Forscher des mobilen Sicherheitsunternehmens Zimperium haben in den letzten drei Monaten über 600 Proben und 50 verschiedene Dropper dokumentiert, was auf eine aktive Kampagne der Angreifer hindeutet. Die ClayRat-Kampagne nutzt sorgfältig gestaltete Phishing-Portale und registrierte Domains, die legitime Service-Seiten nachahmen, um Nutzer zu täuschen.

Diese gefälschten Websites leiten Besucher zu Telegram-Kanälen weiter, wo die Android-Paketdateien (APKs) bereitgestellt werden. Um die Glaubwürdigkeit dieser Seiten zu erhöhen, haben die Angreifer gefälschte Kommentare hinzugefügt, Download-Zahlen aufgebläht und ein gefälschtes Play Store-ähnliches UX mit Schritt-für-Schritt-Anleitungen zur Umgehung von Android-Sicherheitswarnungen erstellt.

Einige ClayRat-Malware-Proben fungieren als Dropper, bei denen die App, die der Nutzer sieht, ein gefälschtes Play Store-Update darstellt und eine verschlüsselte Nutzlast in den App-Assets versteckt ist. Die Malware nistet sich auf dem Gerät ein, indem sie eine “sitzungsbasierte” Installationsmethode verwendet, um Android 13+ Einschränkungen zu umgehen und die Nutzerverdacht zu minimieren.

Einmal auf dem Gerät aktiv, kann die Malware das neue Host-Gerät nutzen, um sich weiter zu verbreiten, indem sie SMS an die Kontaktliste des Opfers sendet. Die Spyware übernimmt die Rolle des Standard-SMS-Handlers auf infizierten Geräten, was ihr erlaubt, alle eingehenden und gespeicherten SMS zu lesen, sie vor anderen Apps abzufangen und SMS-Datenbanken zu ändern.

Die Kommunikation mit dem Command-and-Control-Server (C2) erfolgt in den neuesten Versionen verschlüsselt mit AES-GCM. Die Spyware kann eine Vielzahl von Befehlen empfangen, darunter das Senden von Anrufprotokollen, das Aufnehmen von Fotos mit der Frontkamera und das Versenden von Massen-SMS an alle Kontakte.

Als Mitglied der App Defense Alliance hat Zimperium die vollständigen Indikatoren für Kompromittierung (IoCs) mit Google geteilt, und Play Protect blockiert nun bekannte und neue Varianten der ClayRat-Spyware. Dennoch betonen die Forscher, dass die Kampagne mit über 600 Proben in drei Monaten massiv ist.

Bestseller Nr. 1 ᵃ⤻ᶻ «KI Gadgets»

Apple AirTag - Finde und behalte Deine Sachen im Blick: Schlüssel, Geldbörsen, Gepäck, Rucksäcke und mehr. Einfaches Einrichten mit iPhone oder iPad. Austauschbare Batterie

30,99 EUR

Bestseller Nr. 2 ᵃ⤻ᶻ «KI Gadgets»

Vikye KI -Roboter Angetrieben von Deepseek, Smart Talking Desk Companion mit 1,28 "Bildschirm, Sprachsteuerung, WLAN -Wetteruhr und Bluetooth Music Player

31,20 EUR

Bestseller Nr. 3 ᵃ⤻ᶻ «KI Gadgets»

ZOOI Geschenke für Männer, Geburtstagsgeschenk für Männer, Gadgets für Männer, Geschenke für Papa Geschenk Männergeschenk Adventskalender Füllung Männer, Bluetooth Lautsprecher mit Handyständer

20,99 EUR

Bestseller Nr. 4 ᵃ⤻ᶻ «KI Gadgets»

QCOQ® Air Tags 4er Pack Schwarz, Schlüsselfinder & Air Tracker Tagg Kompatibel mit Apple Wo ist? App (Nur iOS), Smart Key Finder mit Schlüsselband, Koffer-Tracker für Taschen/Keys, Austauschbarer Akku

Bestseller Nr. 5 ᵃ⤻ᶻ «KI Gadgets»

EIlik - Ein Desktop-Begleitroboter mit emotionaler Intelligenz, Multi-Roboter-Interaktionen, Desktop-Robotik-Partner

169,00 EUR

Unseren KI-Morning-Newsletter «Der KI News Espresso» mit den besten KI-News des letzten Tages gratis per eMail - ohne Werbung: Hier kostenlos eintragen!