Schadsoftware
"Crocodilus": Neue Android-Malware legt gefälschte Kontakte für Social Engineering an
Die Android-Malware Crocodilus hat sich seit ihrer Entdeckung im März 2025 zu einer Schadsoftware entwickelt, die Banking-Anwendungen und Kryptowährungs-Wallets in mindestens acht Ländern angreift.
Die Android-Malware Crocodilus wurde erstmals im März 2025 identifiziert und hat sich seitdem zu einer komplexen Bedrohung entwickelt, die auf Geräte mit Android 13 und neueren Versionen abzielt. Die Schadsoftware nutzt einen modularen Aufbau, um Banking-Anwendungen und Kryptowährungs-Wallets in ...
Die Android-Malware Crocodilus wurde erstmals im März 2025 identifiziert und hat sich seitdem zu einer komplexen Bedrohung entwickelt, die auf Geräte mit Android 13 und neueren Versionen abzielt. Die Schadsoftware nutzt einen modularen Aufbau, um Banking-Anwendungen und Kryptowährungs-Wallets in mindestens acht Ländern zu kompromittieren, darunter Polen, Spanien, Brasilien und die USA.
Charakteristisch ist ihre Fähigkeit, systemnahe Berechtigungen zu erlangen und gefälschte Kontakte im Adressbuch zu generieren, um Social-Engineering-Angriffe zu ermöglichen. Crocodilus operiert als Banking-Trojaner und verwendet einen speziell entwickelten Dropper, der die Sicherheitseinschränkungen von Android 13+ umgeht.
Der Infektionsprozess beginnt typischerweise mit der Installation einer scheinbar legitimen Anwendung, die über Drittanbieter-Stores, manipulierte Facebook-Werbeanzeigen oder Phishing-Links verbreitet wird. Nach der Installation fordert die Malware Zugriff auf den Accessibility Service, wodurch sie Bildschirminteraktionen protokollieren, Touch-Eingaben simulieren und andere Anwendungen steuern kann.
Die Malware fokussiert sich auf drei Hauptzielgruppen:
- Banking-Nutzer: Durch Overlay-Angriffe auf 47 dokumentierte Finanzapps, bei denen gefälschte Login-Masken sensible Daten erfassen.
- Kryptowährungs-Besitzer: Automatisierte Extraktion von Seed-Phrasen und privaten Schlüsseln durch Mustererkennung in Wallet-Anwendungen.
- E-Commerce-Nutzer: Abfangen von Zahlungsinformationen bei Online-Käufen über manipulierte Checkout-Prozesse.
Ein neu implementierter Parser analysiert dabei den Bildschirminhalt in Echtzeit und extrahiert spezifische Datenformate mittels regulärer Ausdrücke, was die Effizienz der Datenerfassung erhöht.
Was als regionale Bedrohung in der Türkei begann, hat sich zu einer weltweiten Kampagne entwickelt. Aktuelle Berichte dokumentieren Aktivitäten in Polen, Spanien, Argentinien, Brasilien, Indonesien, Indien und den USA. In Spanien tarnte sich die Malware als Browser-Update und zielte auf nahezu alle großen Banken ab.
