Android: Trojaner imitiert Onlinebanking – die Bafin warnt (voreilig?)

Wer über das Smartphone Onlinebanking betreibt, sollte generell sehr genau hinschauen. Die Bafin warnt nun vor dem Banking-Trojaner Godfather, der nicht nur sehr gefährlich, sondern offenbar auch nicht so leicht zu erkennen sei. Godfather werde wohl über verseuchte Android-Apps verbreitet und sammelt Zugangsdaten inklusive Zwei-Faktor-Benachrichtigung – damit können Kriminelle Zugriff auf die Konten der Nutzer erlangen, heißt es. Der Bafin zufolge könnten mittlerweile auch deutsche Kunden gefährdet sein.

Godfather greife schon mehr als 400 Banking- und Krypto-Apps an, auch von deutschen Banken. Die Software fälscht die Websites von regulären Banking-Angeboten und verschickt sogar Push-Nachrichten für die Zwei-Faktor-Authentifizierung. Godfather verstecke sich dabei sogar in täuschend echt aussehenden Versionen bekannter Apps aus dem Google Play Store, etwa einem Währungsrechner.

Betrugsversuch schwer zu erkennen

Godfather lasse sich zunächst nicht ohne Weiteres als Schadsoftware erkennen, wie der Spiegel erläutert. Beim ersten Aufruf einer befallenen App werde ein Scan nach Schadsoftware vorgegeben. Hier imitiere das Programm Google Play Protect. Mit der Google-Software werden etwa Apps überprüft, die nicht aus dem Play Store heruntergeladen wurden. Godfather scannt allerdings nichts, sondern sichert sich, gemeinsam mit dem ebenfalls verlangen Zugriff auf die Android-Bedienungshilfen, Zugriff auf die notwendigen Berechtigungen, um im Hintergrund heimlich zu laufen. So bekommt Godfather auch Zugriff auf die Tastatureingaben und Push-Benachrichtigungen, um die Zwei-Faktor-Authentifizierung an die Server der Kriminellen weiterzuleiten.

Godfather durchleuchtet das Smartphone nach installierten Banking- oder Krypto-Apps und blendet bei dessen Aufruf eine Kopie der eigentlichen Webseite ein. Wer dann seine Zugangsdaten eingibt, händigt diese an die Angreifer aus.

Update: Alles nicht so schlimm?

Aber ist Godfather wirklich so gefährlich, wie es die Bafin und auch das BSI darstellen? Recherchen von BR24 legen nahe, dass die Bafin die Warnung ungeprüft ausgesprochen hat. Was ist passiert? Offenbar hat die Bafin die Warnung vom Bundesamt für Sicherheit in der Informationstechnik (BSI) übernommen. Mehrere Anfragen von BR24 kamen zu dem Ergebnis, dass man die Gefährlichkeit von Godfather bei der Bafin gar nicht so genau erklären könne. Das BSI verweist auf Anfrage zurück zur Bafin, „die die Meldung veröffentlicht hat“. Das BSI wiederum habe die Meldung offenbar von T3n übernommen. Zudem werde sich nur auf eine Meldung des russischen IT-Sicherheitsunternehmens Group-IB verlassen, das zuerst vor dem Trojaner warnte.

Sebastian Schreiber, Gründer der Tübinger Sicherheitsfirma SySS erklärt gegenüber BR24 zudem, dass es gar nicht so einfach ist, fremde Smartphones zu kapern. Bei BR24 heißt es zur Erklärung: „Der Trojaner müsste, getarnt als App, erst einmal in den Playstore von Google (die Warnung betrifft nur Android-Geräte, keine iPhones von Apple) eingeschleust werden und dabei die dortigen Sicherheitschecks überwinden. Dann müssten User dazu gebracht werden, sich diese schadhaften Apps aufs Handy zu laden. Und zuletzt müssten die Nutzerinnen und Nutzer der neuen App auch noch ungewöhnlich viele Berechtigungen einräumen. So wie es der Hacking-Experte beschreibt, ist es eher unwahrscheinlich, dass sich ein Trojaner auf diese Art großflächig verbreitet. Ausschließen lässt es sich aber auch nicht.“ Dennoch: Die Gefährlichkeit von Godfather wird von Group-IB offenbar stark überhöht und von der Bafin überschätzt.

Keine Angriffe auf Osteuropäer?

Kurios: Im Zuge seiner Systemanalyse überprüft Godfather auch die eingestellte Systemsprache. Ist eine Sprache aus Osteuropa eingestellt, bleibe der Trojaner inaktiv. Nutzer aus Russland, Belarus, Aserbaidschan, Armenien oder Usbekistan sollten offenbar nicht angegriffen werden. Das IT-Sicherheitsunternehmen Group-IB, geht daher davon aus, dass die Godfather-Entwickler aus der Region stammen oder zumindest selbst Russisch sprechen.

Android-Nutzer sollten grundsätzlich sicherstellen, dass Google Play Protect aktiviert ist und Banking Apps nur aus dem Play Store laden. Zudem sollten beim Download aller Apps vor der Installation die Anbieterinformationen überprüft werden, um einem Betrugsversuch zu entgehen.