Schützen Sie sich vor der Android-Malware Herodotus, die das Tippen simuliert, um nicht erkannt zu werden.

Das Auftreten von Herodotus, einer kürzlich identifizierten Android-Malware, hat in der Cybersicherheitswelt erhebliche Besorgnis ausgelöst. Diese Malware operiert nach dem Malware-as-a-Service-Modell (MaaS), wodurch sie von Angreifern relativ einfach entwickelt und verbreitet werden kann. Mithilfe von Täuschungsstrategien kann Herodotus Nutzer irreführen und verschiedene Sicherheitsmaßnahmen umgehen, wodurch die Integrität von Geräten ernsthaft bedroht wird. In diesem Artikel gehen wir auf die Funktionsweise von Herodotus ein, erklären, wie die Malware in Geräte eindringt und welche wichtigen Schritte zum Schutz Ihrer digitalen Daten notwendig sind.

Wie Herodot funktioniert

Herodotus ist eine einzigartige Malware, die Merkmale der berüchtigten Brokewell-Malware integriert und gleichzeitig eigene, ausgeklügelte Techniken einsetzt. Die Verbreitung erfolgt hauptsächlich über SMiShing-Angriffe und manipulierte Webseiten, die Nutzer zum manuellen Installieren der Anwendung verleiten.

Nach der Installation fordert die Schadsoftware die Nutzer auf, den Bedienungshilfen-Dienst zu aktivieren und leitet sie direkt zu den Geräteeinstellungen weiter. Diese Benutzeroberfläche ermöglicht es Herodotus, seine schädlichen Aktionen auszuführen, die hauptsächlich auf das Plündern von Bankkonten abzielen.

Nach der Aktivierung empfängt es maßgeschneiderte Befehle, um bestimmte Anwendungen zu öffnen, SMS-Nachrichten zur Zwei-Faktor-Authentifizierung (2FA) abzufangen, Formulare automatisch auszufüllen und die Geräteeingabe durch Tippen und Gesten zu steuern.

Bemerkenswerterweise ahmt Herodotus das natürliche menschliche Tippverhalten nach, indem es beim Eingeben von Text zufällige Verzögerungen von 0, 3 bis 3 Sekunden einbaut. Diese Taktik hilft, die Erkennung durch Verhaltensüberwachungsmechanismen vieler Apps zu umgehen und erschwert es Standard-Sicherheitslösungen, die Bedrohung zu identifizieren. Da Herodotus als MaaS-Angebot verfügbar ist, können mehrere Benutzer darauf zugreifen und es nutzen. Berichten zufolge wurden bereits sieben verschiedene Instanzen von Herodotus in Aktion entdeckt.

Vorbeugung von Infektionen durch Herodot

Ihre erste Verteidigungslinie gegen die Herodotus-Malware besteht aus Wachsamkeit und Vorsicht. Als Banking-Trojaner tarnt er sich als legitime Anwendung, um Nutzer zum Herunterladen zu verleiten. Seien Sie äußerst vorsichtig bei Links, die Sie per SMS erhalten, oder bei unerwarteten Browser-Aufforderungen, die zur Installation einer App auffordern – unabhängig davon, ob es sich angeblich um Sicherheitsupdates oder andere wichtige Anwendungen handelt.

Seriöse Quellen werden Sie nicht auffordern, Anwendungen manuell zu installieren, da Updates dies in der Regel nicht erfordern. Laden Sie Apps immer aus dem Google Play Store oder anderen vertrauenswürdigen Quellen herunter, insbesondere wenn die Aufforderung unerwünscht oder ungewöhnlich erscheint.

Eine Anfrage zur Aktivierung des Bedienungshilfen-Dienstes sollte sofort Alarm auslösen. Durch die Erteilung dieser Berechtigung kann Schadsoftware Bildschirminhalte beobachten und manipulieren, wodurch Hacker Ihr Gerät übernehmen können.

Stellen Sie außerdem sicher, dass Google Play Protect im Play Store aktiviert ist, da diese Funktion schädliche Apps automatisch erkennt und deaktiviert. Um den Status zu überprüfen, öffnen Sie den Play Store, tippen Sie im Hauptmenü auf Play Protect und vergewissern Sie sich, dass die Funktion aktiviert ist.

Anzeichen einer Herodotus-Infektion erkennen

Aufgrund seiner erweiterten Zugriffsrechte und der Fähigkeit, Verhaltensverfolgung zu unterbrechen, kann die Erkennung von Herodotus für gängige Sicherheitssoftware eine Herausforderung darstellen. Sollten Sie den Verdacht haben, dass Ihr Android-Gerät kompromittiert sein könnte, achten Sie auf folgende Warnsignale:

Wenn Sie auf eine verdächtige Vollbild-Aufforderung stoßen, die Sie zum Warten auffordert, insbesondere beim Starten sensibler Anwendungen wie Banking-Apps, könnte dies auf Malware-Aktivität hinweisen.
Unbekannte Apps mit Bedienungshilfen: Zugriffsrechte sollten nur vertrauenswürdigen Anwendungen erteilt werden.Überprüfen Sie unter Einstellungen → Bedienungshilfen → Heruntergeladene Apps auf unbekannte Einträge.

Barrierefreiheitseinstellungen in Android

Unerwartete SMS-Aktivität: Wenn Sie 2FA-SMS erhalten, die Sie nicht zuordnen können, oder wenn diese sich unerwartet vervielfachen, könnte Ihr Gerät von Herodotus kompromittiert worden sein.
Erhöhter Ressourcenverbrauch: Diese Schadsoftware führt zahlreiche Hintergrundprozesse aus, die zu einem ungewöhnlich hohen Akkuverbrauch oder einer verlangsamten Leistung führen können.Überprüfen Sie unter Einstellungen → Akku, ob unbekannte Apps übermäßig viel Strom verbrauchen.

Akkuverbrauchsdiagramm zur Anzeige des Akkuverbrauchs von Apps

Maßnahmen, die zu ergreifen sind, wenn Ihr Gerät infiziert ist

Sollten Sie feststellen, dass Ihr Gerät mit Herodotus infiziert ist, schalten Sie Ihr Telefon sofort in den Flugmodus und befolgen Sie diese wichtigen Schritte:

Deinstallieren Sie die schädliche App.

Die Entfernung der Schadsoftware muss oberste Priorität haben. Aufgrund ihrer erweiterten Berechtigungen reichen herkömmliche Deinstallationsmethoden möglicherweise nicht aus. Sollten Sie Probleme bei der Deinstallation haben, überprüfen Sie die Bedienungshilfen-Einstellungen und entziehen Sie der Schadsoftware die entsprechenden Berechtigungen.

Gehen Sie außerdem zu Einstellungen → Datenschutz → Spezielle Berechtigungen, um sicherzustellen, dass die Schadsoftware keine Geräteadministrator- oder Anzeigeberechtigungen für andere Apps besitzt. Das Starten Ihres Geräts im Android-Sicherheitsmodus kann die Entfernung ebenfalls erleichtern.

Liste der speziellen Berechtigungen in den Android-Einstellungen

Sichern Sie Ihre Online-Konten

Ändern Sie umgehend von einem sicheren Gerät aus die Passwörter aller Konten, auf die Sie mit dem kompromittierten Gerät zugegriffen haben, insbesondere Ihre Bankzugangsdaten. Nutzen Sie nach Möglichkeit eine Authentifizierungs-App für die Zwei-Faktor-Authentifizierung (2FA) und widerrufen Sie alle aktiven Sitzungen über die Sicherheitseinstellungen Ihrer Online-Dienste. Informieren Sie Ihr Finanzinstitut sofort, wenn Sie unautorisierte Transaktionen feststellen.

Führen Sie einen umfassenden Sicherheitsscan durch.

Nach der Deinstallation der schädlichen App ist ein Sicherheits-Scan unerlässlich, um sicherzustellen, dass alle Spuren von Malware beseitigt werden. Beginnen Sie, indem Sie, wie bereits erwähnt, Play Protect im Google Play Store aufrufen und einen Scan durchführen. Anschließend empfiehlt es sich, eine vertrauenswürdige Antiviren-Anwendung wie Avast Antivirus & Security herunterzuladen, um eine vollständige Systemprüfung durchzuführen.

Um sich zusätzlich vor Herodotus zu schützen, kann es ratsam sein, Ihre wichtigsten Daten zu sichern und einen Werksreset durchzuführen.

Um Schadsoftware wie Herodotus zu verhindern, ist es entscheidend, Apps ausschließlich aus dem Google Play Store zu beziehen und auf das Installieren von externen Installationsdateien (Sideloading) zu verzichten. Allerdings können auch Apps aus vertrauenswürdigen Quellen kompromittiert werden. Daher ist die Aktivierung aller verfügbaren Android-Sicherheitsfunktionen für einen optimalen Schutz unerlässlich.

Quellen & Bilder