Das bösartige Tool wird für Spionage, Fernzugriff, Datenklau und Ransomware-Infektionen verwendet. Sicherheitsforscher beobachten bereits Angriffe in Deutschland, aber noch nicht in der Schweiz.
REDWOOD CITY, Kalifornien, USA – 24. Juni 2024 – Check Point Research (CPR), die Sicherheitsforscher von Check Point® Software Technologies Ltd. (NASDAQ: CHKP), einem führenden Anbieter einer KI-gestützten, cloudbasierten Cybersicherheitsplattform, haben die weitreichende Nutzung von Rafel, einem Open-Source-Remote-Administrationstool (RAT), durch verschiedene Bedrohungsakteure aufgedeckt. Die Malware zielt auf Smartphones, die unter Android laufen – entsprechend lang ist die Liste potenzieller Opfer, denn derzeit gibt es rund 3,9 Milliarden aktive Android-Nutzer in 190 Ländern.
Smartphones von Samsung, Xiaomi, Vivo und Huawei betroffen
CPR sammelte mehrere Malware-Samples von besagtem Android-RAT und zählte etwa 120 Command-and-Control-Server. Bei der Analyse stellte CPR fest, dass die USA, China und Indonesien die am stärksten betroffenen Länder waren. In Europa trafen die meisten Angriffe Geräte in Frankreich und Italien, dahinter stehen Deutschland, Tschechien und Russland als meistbetroffene Länder.
Die meisten Opfer besassen Samsung-Telefone, während Nutzer von Xiaomi, Vivo und Huawei die zweitgrösste Gruppe unter den betroffenen Opfern bildeten. Das Ergebnis entspricht der Marktanteile und Beliebtheit der entsprechenden Geräte in den jeweiligen Märkten und Ländern.
Die Entdeckung einer Spionagegruppe, die Rafel für ihre Operationen nutzt, zeigt die Wirksamkeit des Tools für verschiedene Bedrohungsprofile und operative Ziele auf. In einem früheren Forschungsbericht stellte CPR fest, dass APT-C-35 / DoNot Team Rafel RAT einsetzt. Die Funktionen und Fähigkeiten von Rafel, wie z. B. Fernzugriff, Überwachung, Datenexfiltration und Persistenzmechanismen, machen es zu einem wirksamen Werkzeug für die Durchführung verdeckter Operationen und die Infiltrierung hochkarätiger Ziele.
Ransomware-Operationen, 2FA-Umgehung und State Hacking
CPR hat drei spezifische Fälle eingehend analysiert. Der erste war eine Android-Ransomware-Operation, bei der der Bedrohungsakteur die Dateien des Geräts verschlüsselte. Der zweite Fall waren durchgesickerte Zwei-Faktor-Authentifizierungsnachrichten (2FA), die möglicherweise zur Umgehung von 2FA führen könnten, und der letzte Fall war ein Bedrohungsakteur, der Rafel Command and Control auf einer gehackten Regierungswebseite installierte und Geräte infizierte, die sich dort anmeldeten.
Abbildung 1: Infizierte Geräte pro Land (Quelle: Check Point 2024)
Brisant ist ausserdem die Verteilung der Android-Versionen unter den am meisten betroffenen Opfern (Abbildung 2). Trotz der Vielfalt der Android-Versionen kann Malware in der Regel mit allen Versionen arbeiten. Neuere Versionen des Betriebssystems stellen die Malware jedoch in der Regel vor grössere Herausforderungen bei der Ausführung ihrer Funktionen.
Abbildung 2: Von Rafel RAT betroffene Android-Versionen (Quelle: Check Point 2024)
Ein weiteres nennenswertes Ergebnis ist, dass vor allem ältere Systeme angegriffen werden. Mehr als 87 Prozent der betroffenen Opfer verwenden Android-Versionen, die nicht mehr unterstützt werden und folglich keine Sicherheitsupdates erhalten.
Rafel RAT ist ein aussagekräftiges Beispiel für die sich entwickelnde Landschaft von Android-Malware, die sich durch ihren Open-Source-Charakter, ihren umfangreichen Funktionsumfang und ihre weit verbreitete Nutzung für verschiedene illegale Aktivitäten auszeichnet.
Check Point empfiehlt Android-Nutzern folgende Schutzmassnahmen:
- Apps aus vertrauenswürdigen Quellen installieren: Apps nur aus seriösen Quellen wie dem Google Play Store herunterladen. Vermeidung von App-Stores von Drittanbietern und Vorsicht bei Apps, die nur wenige Downloads oder schlechte Bewertungen haben. Ausserdem sollten vor der Installation immer die App-Berechtigungen und Bewertungen geprüft werden.
- Software auf aktuellem Stand halten: Regelmässige Aktualisierung des Android-Betriebssystems und von Apps. Die Updates enthalten oft Sicherheitspatches, die vor neu entdeckten Sicherheitslücken schützen.
- Verwendung einer zuverlässigen App für mobile Sicherheit: Installation einer seriösen App für mobile Sicherheit, die Echtzeitschutz vor Malware bietet. Diese Apps können nach bösartiger Software suchen, verdächtige Aktivitäten erkennen und bieten zusätzliche Sicherheitsfunktionen wie Diebstahlschutz und sicheres Surfen.
Die Entdeckung von Rafel RAT zeigt, wie vielseitig und gefährlich Android-Malware sein kann und unterstreicht die Notwendigkeit ständiger Wachsamkeit und proaktiver Sicherheitsmassnahmen. Android-Nutzer, die die oben aufgeführten Schritte befolgen, können ihr Risiko, von Malware infiziert zu werden, erheblich reduzieren und die Sicherheit ihres Geräts erhöhen.
Weitere Informationen finden Sie im Blog unter: https://research.checkpoint.com/2024/rafel-rat-android-malware-from-espionage-to-ransomware-operations/
Folgen Sie Check Point über:
LinkedIn: https://www.linkedin.com/company/check-point-software-technologies
X: https://www.twitter.com/checkpointsw
Facebook: https://www.facebook.com/checkpointsoftware
Blog: https://blog.checkpoint.com
YouTube: https://www.youtube.com/user/CPGlobal
Über Check Point Software Technologies Ltd.
Check Point Software Technologies Ltd. (www.checkpoint.com) ist ein führender Anbieter einer KI-gestützten, cloudbasierten Cybersicherheitsplattform, die mehr als 100’000 Organisationen weltweit schützt. Check Point nutzt die Kraft der KI überall, um die Effizienz und Genauigkeit der Cybersicherheit durch seine Infinity-Plattform zu verbessern, mit branchenführenden Erkennungsraten, die eine proaktive Antizipation von Bedrohungen und intelligentere, schnellere Reaktionszeiten ermöglichen. Die umfassende Plattform umfasst Cloud-Technologien, bestehend aus Check Point Harmony zur Sicherung des Arbeitsplatzes, Check Point CloudGuard zur Sicherung der Cloud, Check Point Quantum zur Sicherung des Netzwerks und Check Point Infinity Core Services für kollaborative Sicherheitsabläufe und -dienste.
Pressekontakte:
Check Point Software Technologies
Alvaro Amato
Country Manager Schweiz
Jenni Kommunikation AG
Sylvana Zimmermann
Tel: +41 44 388 60 80
E-Mail: sylvana.zimmermann@jeko.com