Android-Betrug: Trapdoor nutzt 455 bösartige Apps für Fake-Clicks

Trapdoor durchläuft vier miteinander verbundene Phasen:

Trapdoor durchläuft vier miteinander verbundene Phasen: Verteilung, Aktivierung, Auslieferung der Nutzlast und Monetarisierung. Die erste Phase stützt sich auf App-Stores, in denen Nutzer Apps freiwillig herunterladen, die hilfreich und harmlos erscheinen.

Die initialen Apps werden so sauber gehalten, dass sie grundlegende Sicherheitsprüfungen bestehen und frühe Verdachtsmomente vermeiden. Nach der Installation beginnt die erste App, gefälschte Anzeigen in Form von dringenden Aktualisierungsalarmen auszuspielen.

Diese Aufforderungen wirken glaubwürdig und vertraut, indem sie die gängige Gewohnheit ausnutzen, App-Benachrichtigungen ohne sorgfältige Prüfung zu akzeptieren. Nutzer, die darauf hereinfallen, installieren eine zweite App, die in dieser Operation der eigentliche Träger der Nutzlast ist.

Technik und Auswirkungen

Die zweite App versteckt ihre Aktivitäten in Vollbild-Browserfenstern, die der Nutzer nie sieht. Diese unsichtbaren Fenster laden HTML5-Seiten auf von Angreifern kontrollierten Domains und führen skriptgesteuerte Berührungsgesten aus, die bestimmte Werbeeinblendungen gezielt ansteuern.

Die Gestendaten stammen aus zwei beiliegenden Dateien, move.txt und click.txt, die exakte Bildschirmkoordinaten und Zeitintervalle abbilden, sodass gefälschte Klicks authentisch menschlich wirken. Strategien zur Umgehung der Erkennung Eine der markantesten Eigenschaften von Trapdoor ist, wie effektiv es sich der Entdeckung entzieht.

Der bösartige Arbeitsablauf wird bei organischen Downloads nie aktiviert, sodass ein Analyst, der die App direkt aus dem Play Store herunterlädt, nichts Bedrohliches feststellt.

Betrug löst sich nur bei Nutzern

Betrug löst sich nur bei Nutzern aus, die über die bezahlten Kampagnen der Angreifer kamen, was durch einen Wert des Marketing-Attributions-Trackers in der Installationsaufzeichnung bestätigt wird.

Neben diesem selektiven Auslöser nutzen die Apps Code-Packing, String-Verschlüsselung und Code-Virtualisierung, um Reverse-Engineering-Versuche erheblich zu verlangsamen. Einige Varianten täuschen zudem legitime Werbetools auf Code-Ebene vor, um bösartige Logik der ersten Prüfung zu entziehen.

Die Apps prüfen zusätzlich nach VPN-Aktivität und Debugging-Indikatoren und unterdrücken sämtliche bösartige Aktivitäten, sobald einer dieser Faktoren erkannt wird. Benutzer werden empfohlen, Utility-Apps von unbekannten Entwicklern zu meiden und Berechtigungsanfragen sorgfältig zu prüfen, bevor neue Anwendungen installiert werden.

Sicherheitslage und Risiko

Das Deinstallieren nicht mehr benötigter Apps und das Aktualisieren der Geräte mit aktuellen Sicherheitspatches sind einfache Gewohnheiten, die die Exposition gegenüber Operationen wie Trapdoor erheblich reduzieren.

Indikatoren für Kompromittierung (IoCs): Die folgende Tabelle zeigt die IoC-Typen und die wichtigsten technischen Artefakte, die im Rahmen dieser Operation bestätigt wurden: Dateiname: move.txt; Indikator: move.txt; Beschreibung: Eingebundenes Dateielement, das vorprogrammierte Swipe- und Bewegungssteuerungs-Koordinaten enthält, die für automatisierte Werbeinteraktionen verwendet werden.

Dateiname: Indicator: click.txt; Beschreibung: Eingebundene Datei mit Koordinaten und Zeitstempeldaten für Fingerabdrücke, die menschliche Werbeklicks simulieren.

Technik und Auswirkungen

C2-Domain-Liste: Indikator: 183 Domänen, die von Bedrohungsakteuren kontrolliert werden (vollständige Liste: CSV); Beschreibung: Command-and-Control-Domänen zur Bereitstellung von Klickkonfigurationen, HTML5-Auszahlungsseiten und Anti-Analyse-Signalen.

Liste bösartiger Apps: Indikator: 455 Android-Apps (vollständige Liste: CSV); Beschreibung: Von Bedrohungsakteuren kontrollierte Android-Anwendungen zur Verteilung von Trapdoor und zur Durchführung von Werbetäuschungen.

API-Endpunkt: Indikator: /api/referrer; Beschreibung: C2-Endpunkt zur Übermittlung von Anti-Analyse-Signalen, einschließlich Prüfungen auf rootete Geräte, Debugging-Indikatoren und VPN-Erkennung. Klasse/Dateityp: Indikator: Fake-SDK-Klasse; Beschreibung: Code-Struktur, die ein legitimes Werbe-SDK nachahmt, um statische Analysen zu umgehen.

Sicherheitslage und Risiko

Datenklasse: Indikator: TouchConfig TouchData; Beschreibung: Deserialisierte Modellklassen zur Ausführung automatisierter Berührungsevents über Androids dispatchTouchEvent. Hinweis: IP-Adressen und Domains wurden absichtlich defanged (z. B. [.] ), um eine unbeabsichtigte Auflösung oder Hyperlinkierung zu verhindern.

Defang nur innerhalb kontrollierter Threat-Intelligence-Plattformen wie MISP, VirusTotal oder Ihres SIEM. Tushar ist ein Senior-Experte für Cybersicherheit und Berichterstattung über Sicherheitsvorfälle.

Er spezialisiert sich auf die Berichterstattung über Nachrichten und Trends im Bereich Cybersicherheit sowie auf neu auftretende Bedrohungen, Datenpannen und Malware-Angriffe. Mit jahrelanger Erfahrung bringt er Klarheit und Tiefe in komplexe Sicherheitsthemen ein.

Linux-Schwachstelle PinTheft: Angreifer erhalten Root-Zugang – Proof-of-Concept veröffentlicht. So schließen Sie die teuerste Lücke in Ihrer SOC. Der GitHub-Verstoß bei Grafana wird mit der TanStack npm-Supply-Chain-Ransomware in Verbindung gebracht.