Frühe Versionen von ArcticRAT hatten es auf Nutzer von elf bestimmten Kryptowährungs-Apps abgesehen. Sie sollten vor allem sensible Daten von infizierten Android-Geräten abgreifen, mit denen sich Angreifer Zugang zu den Kryptokonten der Opfer verschaffen konnten. Die neueren Varianten, die Zimperium verfolgt, können deutlich mehr:

  • Fernsteuerung und Überwachung des Geräts
  • Diebstahl von Zugangsdaten und Mitschneiden von Tastatureingaben
  • Bildschirmfotos und Live-Übertragung des Bildschirms
  • Abhören des Mikrofons
  • Diebstahl von SMS, Kontakten und Anruflisten
  • Auslesen oder Ändern der Zugangsdaten für die Bildschirmsperre, wodurch Opfer womöglich aus ihren eigenen Geräten ausgesperrt werden

Seit Juli haben die Analysten von Zimperium 78 verschiedene Malware-Samples gefunden, darunter 42 Dropper und 36 Payloads, außerdem 21 IP-Adressen, die die Betreiber für die Kommunikation mit ihren Command-and-Control-Servern nutzen. Die Forscher fanden zudem 129 verschiedene Befehle, mit denen Angreifer infizierte Geräte fernsteuern, Daten stehlen, Nutzeraktivitäten überwachen und Gerätefunktionen manipulieren können.

Um ihre Aktivitäten zu verbergen, legen die Angreifer unter anderem eine „vollständig schwarze, nicht wegklickbare“ Bildschirmüberlagerung über das Display. „Eine besonders schwierige Technik ist die verdeckte Fernsteuerung in Verbindung mit einem schwarzen Bildschirm-Overlay. Die Angreifer missbrauchen legitime Android-Funktionen und lassen das Gerät dabei gesperrt oder ausgeschaltet erscheinen“, sagte Nico Chiaraviglio, Chief Scientist bei Zimperium.

Zur Verbreitung von ArcticRAT 2.0 setzen die Betreiber auf Malvertising, Smishing und Foren von Drittanbietern, über die Besucher auf präparierte Websites gelockt werden. Der wichtigste Angriffsweg war laut Zimperium eine Landingpage, die Google Play überzeugend nachahmte, um Opfer zum Herunterladen einer bösartigen App zu verleiten. In einigen Fällen nutzten die Angreifer Speicher-Buckets von Amazon Web Services, um die Payload direkt auf Android-Geräte zu bringen.

Nach der Installation missbraucht auch die neueste Version, wie schon ihre Vorgänger, die Berechtigungen der Android-Bedienungshilfen (Accessibility Services), um sich mit den C2-Servern zu verbinden und den Angreifern die Fernsteuerung zu ermöglichen. Zuerst sammelt die Malware Informationen über das Gerät, etwa Standort, Akkustand, Bildschirmstatus, WLAN-Verbindung und gerade aktive Apps. Anhand dieser Daten und der installierten Anwendungen entscheiden die Angreifer, welche Funktionen sie aktivieren, etwa das Mitschneiden von Tastatureingaben, Screenshots, Bildschirmaufzeichnungen, das Abhören des Mikrofons oder das Auslesen sensibler Daten aus Nachrichten und Apps.

Die wichtigste Neuerung ist die KI-gestützte Auswertung der Beute. Zimperium fand in der Malware eine API-Anbindung an das Modell Grok von xAI. Die Angreifer können sie aus der Ferne aktivieren, um die installierten Apps des Opfers zu prüfen und Banking-, Krypto- und Trading-Plattformen zu erkennen. Gestohlene SMS sortiert die KI: Alltägliche Kommunikation und Werbung werden von Einmal-Authentifizierungscodes, Kontostandsänderungen und Transaktionsbenachrichtigungen getrennt. Nach Angaben von Zimperium kann sie sogar die finanzielle Lage eines Opfers einschätzen, bevor die Daten an die C2-Infrastruktur gehen. „ArcticRAT nutzt KI, um Nutzerdaten wie SMS-Nachrichten zu lesen und nach Finanzinformationen zu filtern, die für Betrug verwendet werden könnten“, sagte Chiaraviglio.

So können die Angreifer einen Großteil der Arbeit automatisieren, große Mengen gestohlener Daten zu sichten und wertvolle Finanzinformationen herauszufiltern, statt alles von Hand durchzugehen. „Da mobile Trojaner wie ArcticRAT immer ausgefeilter werden, reichen herkömmliche signaturbasierte Sicherheitsschichten nicht mehr aus, um mobile Endgeräte in Unternehmen zu schützen“, erklärte Zimperium.

Zur Abwehr empfiehlt Chiaraviglio Organisationen eine KI-gestützte Bedrohungserkennung direkt auf dem Gerät, Kontrollen über App-Installationen und Berechtigungen sowie Laufzeitschutz für Anwendungen, der verdächtige Bildschirmfreigaben und bösartige Overlays erkennt. Analysten sehen in der Entwicklung von ArcticRAT einen Beleg dafür, wie schnell sich mobile Bedrohungen weiterentwickeln. Mobilgeräte sollten daher nicht als nachrangiges Sicherheitsthema behandelt werden, sondern dieselbe Überwachung, Zugriffskontrolle und Schutzmaßnahmen erhalten wie klassische Endgeräte.