Staatstrojaner liest heimlich WhatsApp-Nachrichten mit

Das IT-Sicherheitsunternehmen Kaspersky hat eine professionelle Spionage-Software speziell für Android-Handys entdeckt. Dahinter steckt wohl eine italienische Firma, die im Staatsauftrag arbeitet.

Die russische IT-Sicherheitsfirma Kaspersky hat eine Spionagesoftware für das Google-Betriebssystem Android entdeckt, die WhatsApp-Nachrichten mitlesen und über das Mikrofon Unterhaltungen belauschen kann.

Kaspersky fand einige betroffene Nutzer in Italien und vermutet, dass die Software von einer italienischen IT-Firma entwickelt wurde, die auf Überwachungslösungen spezialisiert ist. Kaspersky gab dem Programm den Namen "Skygofree". Es sei eines der mächtigsten Ausspähwerkzeuge für Android, die der Firma bisher untergekommen seien, hieß es.

So trickst die Software System und den Nutzer aus

An die WhatsApp-Nachrichten kommt "Skygofree" mit einem Trick: Die Spionagesoftware missbraucht dafür die Bedienungshilfefunktion, die eigentlich Menschen mit Behinderungen helfen soll. Dafür kann sie auf den Inhalt des Bildschirms zugreifen, zum Beispiel, um ihn vorzulesen. So umgeht das Spionageprogramm die WhatsApp-Verschlüsselung.

Um die Funktion zu aktivieren, ist zwar die Zustimmung des Nutzers notwendig – er wird aber durch eine fingierte Anfrage auf dem Gerät dazu verleitet, diese zu erteilen. Die Schwachstelle in der Schnittstelle (API) ist schon länger bekannt.

Zu weiteren Daten, die "Skygofree" von einem infizierten Android-Smartphone abgreifen könne, gehörten SMS, Ortungsdaten, Anruflisten und Kalendereinträge. Zudem könnten Informationen aus anderen Apps wie zum Beispiel Facebook abgegriffen werden.

Lauschangriff per Smartphone und Geo-Lokalisation

Auch die Kamera lässt sich fernsteuern. Sobald jemand das Gerät entsperrt, können die Angreifer über die Frontkamera Fotos oder Videos schießen. Es sei auch möglich, die Software so einzustellen, dass sie das Mikrofon zum mithören aktiviert, sobald sich das Telefon an einem vorgegebenen Ort befindet.

Außerdem könnten sich die infizierten Geräte heimlich mit einem präparierten WLAN-Netzwerk der Angreifer verbinden. Darüber können weitere Informationen ausgespäht werden, beispielsweise Login- oder Bankdaten.

Nach Erkenntnissen von Kaspersky stammen erste Varianten der Software aus dem Jahr 2014. Seither seien die Funktionen immer weiter ausgebaut und verbessert worden. Die aktuelle Version bezeichnen die Sicherheitsforscher als ein "ausgefeiltes mehrstufiges Spionageprogramm, das den Angreifern volle Kontrolle über das infizierte Gerät gibt".

Hinweise auf die Urheber finden sich im Quellcode

Das Programm wurde zuletzt im September vergangenen Jahres aktualisiert, nur einen Monat, bevor es Kaspersky entdeckte. Verbreitet werde der mutmaßliche Staatstrojaner vor allem über Webseiten, die wie Serviceseiten von Mobilfunkanbietern aussehen. Diese köderten die Zielpersonen mit einem Update, das angeblich die Surfgeschwindigkeit optimiere. Im Hintergrund wurde dabei der Trojaner heruntergeladen.

Im Quellcode fanden die Kaspersky-Forscher Hinweise auf die Urheber der Spionagesoftware. Demnach verdächtigen die Experten offenbar Negg International, eine italienische IT-Firma, die sich auf Überwachungstechnik für Ermittlungsbehörden spezialisiert hat.

Nur ganz bestimmte Nutzer sind gefährdet

Netzaktivisten sehen die Entwicklung solcher Spionagetools im Staatsauftrag kritisch, da sie mitunter auch in den Händen autoritärer Regime landen können. Negg International hat sich noch nicht zu dem Kaspersky-Bericht geäußert.

Nach bisherigen Erkenntnissen handelt es sich bei "Skygofree" um einen Staatstrojaner, der für gezielte Angriffe auf einzelne Personen eingesetzt wurde und zwar überwiegend in Italien. Eine massenhafte Verbreitung ist unwahrscheinlich.

Bei der Analyse seien auch Ausspähwerkzeuge für Windows-Computer entdeckt worden, zum Beispiel für das Chatprogramm Skype. Kaspersky habe aber keine infizierten Geräte gefunden.

Wie kann man sich schützen?

Kaspersky empfiehlt, Apps und Updates nur über die offiziellen Stores herunterzuladen. Die Installation von Drittanbieter-Apps oder aus unbekannter Quelle sollte grundsätzlich deaktiviert sein. Verlangt eine Anwendung wiederholt Zugriffsberechtigungen oder ploppen immer wieder Hinweise auf, sollte man diese nicht einfach wegdrücken, sondern skeptisch werden.

Nun, da die Software bekannt ist, werden Anti-Virenprogramme zudem bald in der Lage sein, den Trojaner bei einem Virenscan zu entdecken.

Quellen:
- Nachrichtenagentur dpa
- Kaspersky-Blog
- Securelist