Der Sicherheitsspezialist Zimperium hat eine groß angelegte Android-Überwachungskampagne aufgedeckt. Der Remote-Access-Trojaner „Arsink RAT“ nutzt legitime Cloud-Dienste zur Tarnung und erlaubt Angreifern umfassenden Zugriff auf infizierte Geräte.

Foto: miss irine - stock.adobe.com Foto: Zimperium Kern Smith, Vice President of Global Solutions Engineering bei Zimperium Nach Angaben der Forscher handelt es sich bei Arsink RAT um einen cloud-nativen Remote-Access-Trojaner, der sensible Daten sammelt und sich als gewöhnlicher Cloud-Datenverkehr ausgibt. Entdeckt wurden 1.216 einzigartige bösartige Android-App-Proben, die mit 317 Command-and-Control-Endpunkten verbunden sind. Diese stehen laut Analyse mit rund 45.000 infizierten Geräten in 143 Ländern im Datenaustausch – damit zählt Arsink zu den umfangreichsten Android-Überwachungsaktionen der vergangenen Monate. Die Untersuchung wurde von Zimperium-Teams in Dallas koordiniert.

Verbreitung über Cloud-Dienste

Im Unterschied zu klassischer Android-Malware setzt Arsink RAT nicht auf dedizierte Server, sondern missbraucht etablierte Plattformen wie Google Drive, Telegram und Firebase, um Steuerbefehle auszutauschen und Daten abzuziehen. Die Verbreitung erfolgt primär über Social Engineering: bösartige Apps werden über Telegram-Kanäle, Discord-Beiträge und Datei-Hosting-Links verteilt. Dabei imitieren die Angreifer mehr als 50 bekannte Dienste, darunter Google, YouTube, WhatsApp, Instagram, Facebook und TikTok.

Nach der Infektion ermöglicht Arsink RAT eine dauerhafte Überwachung und vollständige Fernsteuerung der Geräte. Zu den Funktionen zählen das Abgreifen von SMS – inklusive Einmalpasswörtern –, Anrufprotokollen und Kontakten sowie von Gerätekennungen, Standortdaten, Mikrofonaufnahmen, Fotos und beliebigen Dateien. Zusätzlich können Angreifer aus der Ferne Befehle ausführen, Dateien verwalten, Nachrichten anzeigen, Telefonate initiieren und externen Speicher löschen.

Risiken für Unternehmen

Für Unternehmen sieht Zimperium erhebliche Gefahren. Kern Smith, Vice President of Global Solutions Engineering bei Zimperium:

„Für Unternehmen ist Arsink nicht nur eine Spionagegefahr wie für Verbraucher, sondern die Schadsoftware stellt ein direktes Risiko für Unternehmensdaten und interne Prozesse dar. Kompromittierte Geräte können unbemerkt Authentifizierungscodes, Zugangsdaten und Unternehmenskommunikation weiterleiten und so eine Kontenübernahme und betrügerische Aktionen durchführen. Durch Verschleierung solcher Aktivitäten in vertrauenswürdigen Cloud-Diensten kann Arsink herkömmliche Abwehrmechanismen umgehen — das lässt sich nur durch verhaltensbasierte Schutzmechanismen auf dem Mobilgerät unterbinden.“

Zimperium gibt an, Arsink RAT mittels verhaltensbasierter Analyse direkt auf dem Endgerät zu erkennen. Die Angreifer folgten zunehmend einer Mobile-First-Strategie – Schadprogramme wie Arsink unterstrichen aus Sicht der Forscher die Notwendigkeit, neue Bedrohungen auf Mobilgeräten in Echtzeit identifizieren und abwehren zu können.