Android-Malware „Rathat“ tarnt sich als Chrome und greift sensible Daten ab

Android-Nutzer sollten bei Apps aus unbekannten Quellen besonders vorsichtig sein. Sicherheitsforscher von Zimperium haben mit „Rathat“ eine neue Schadsoftware entdeckt, die sich unter anderem als bekannte Anwendung wie Google Chrome tarnt. Die Malware kann weitreichende Zugriffsrechte erlangen, sensible Daten auslesen und mithilfe eines KI-Agenten ihr Verhalten steuern.

Android ist aufgrund seiner großen weltweiten Nutzerbasis regelmäßig Ziel von Schadsoftware. „Rathat“ verfolgt dabei einen besonders weitreichenden Ansatz: Nach einer erfolgreichen Installation versucht die Malware, Kontrolle über zentrale Funktionen des Smartphones zu erhalten.

Rathat tarnt sich als bekannte Android-App

Die Schadsoftware wird laut den Sicherheitsforschern in manipulierten Apps verbreitet, die bekannten Anwendungen optisch nachempfunden sind. Bei einer untersuchten Variante verwendeten die Angreifer beispielsweise Namen und App-Symbol des Chrome-Browsers.

Nach der Installation zeigt sich jedoch ein entscheidender Unterschied zur legitimen Anwendung: Die manipulierte App fordert Zugriff auf die Bedienungshilfen beziehungsweise Barrierefreiheitsfunktionen von Android.

Wer diese Berechtigung erteilt, ermöglicht der Schadsoftware weitere Eingriffe in das Betriebssystem.

Wireless Debugging verschafft der Malware zusätzliche Rechte

Mit den erhaltenen Berechtigungen kann „Rathat“ laut Zimperium die Android-Einstellungen aufrufen und „Wireless Debugging“ aktivieren. Diese Funktion ist eigentlich für Entwickler vorgesehen, damit sie Anwendungen ohne Kabelverbindung auf einem Android-Gerät testen können.

Die Malware nutzt diese Möglichkeit jedoch, um sich Zugriff auf die ADB-Shell zu verschaffen. Dadurch erhält sie weitreichende Möglichkeiten, Befehle auf dem betroffenen Smartphone auszuführen.

Nach diesem Schritt installiert „Rathat“ einen KI-Agenten, der weitere Aktionen koordiniert. Dieser soll unter anderem dafür sorgen, dass sich die Schadsoftware dauerhaft im System festsetzt und von bestimmten Energiesparmechanismen ausgenommen wird.

Bankdaten, SMS und Bildschirmaufnahmen können betroffen sein

Hat „Rathat“ die erforderlichen Rechte erhalten, kann die Malware sensible Informationen auf dem Smartphone erfassen und über einen Proxy an die Angreifer übertragen.

Dazu können Login- und Kontoinformationen von Banking-Anwendungen, SMS, Benachrichtigungen sowie Screenshots und Bildschirmvideos gehören.

Besonders problematisch ist, dass viele dieser Aktivitäten weitgehend im Hintergrund stattfinden. Nutzer könnten deshalb zunächst nicht bemerken, dass ihr Gerät kompromittiert wurde.

Nach Angaben der Sicherheitsforscher kann die Schadsoftware außerdem umfangreiche Systemrechte erreichen. Versuchen Betroffene anschließend, die infizierte Anwendung zu entfernen, kann die Malware unter bestimmten Umständen das Gerät löschen.

Mehr als 162 infizierte Apps entdeckt

Zimperium zufolge lassen sich die beobachteten Angriffe nach China zurückverfolgen. Wer konkret hinter der Kampagne steht, ist bislang nicht bekannt.

Der aktuelle Schwerpunkt liegt demnach auf Anwendungen und Finanzdiensten, die insbesondere auf dem chinesischen Markt verbreitet sind. Dazu gehören unter anderem WeChat Pay und Alipay.

Dennoch betrachten die Sicherheitsforscher „Rathat“ als potenziell globale Bedrohung. Die Schadsoftware könnte angepasst werden, um Finanzanwendungen und andere Dienste in weiteren Ländern anzugreifen. Nach den vorliegenden Erkenntnissen wurden bereits mehr als 162 infizierte Apps identifiziert.

So können sich Android-Nutzer vor Rathat schützen

Apps möglichst nur aus offiziellen Quellen installieren

Ein wichtiger Schutz besteht darin, Anwendungen nicht von unbekannten Webseiten oder anderen nicht vertrauenswürdigen Quellen herunterzuladen. „Rathat“ wird derzeit laut den vorliegenden Informationen über Webseiten und nicht regulär über den Google Play Store verbreitet.

Ein Google-Sprecher erklärte gegenüber CNET, dass der Play Store entsprechende Angriffe erkennen und betroffene Anwendungen entfernen könne. Die ausschließliche Nutzung offizieller und vertrauenswürdiger App-Quellen reduziert daher das Risiko einer Infektion erheblich.

Nutzer sollten außerdem besonders aufmerksam werden, wenn eine vermeintlich bekannte App ungewöhnliche Berechtigungen verlangt. Ein Browser benötigt beispielsweise im normalen Betrieb keinen umfassenden Zugriff auf Android-Bedienungshilfen, um grundlegende Webfunktionen bereitzustellen.

Bei einer Infektion kann ein Werksreset erforderlich sein

Ist ein Smartphone bereits betroffen, gestaltet sich die Entfernung der Schadsoftware schwieriger. Sav Wheeler, Sicherheitsforscher bei Malwarebytes, erklärte gegenüber CNET, dass eine einfache Quarantäne problematisch sein könne.

Der eingesetzte KI-Agent könne das Verhalten der Anwendung schnell verändern. Dadurch sei es möglich, dass die Malware anschließend wie eine andere App auftrete und ihre Aktivitäten anpasse.

Bei nachweislich kompromittierten Geräten kann deshalb ein vollständiges Zurücksetzen auf die Werkseinstellungen notwendig werden, um die Schadsoftware zuverlässig zu beseitigen.

„Rathat“ zeigt damit, wie Android-Schadsoftware zunehmend klassische Angriffstechniken mit automatisierten Systemen kombiniert. Für Nutzer bleibt vor allem entscheidend, Apps nur aus vertrauenswürdigen Quellen zu installieren und ungewöhnliche Berechtigungsanfragen kritisch zu prüfen.