Brokewell Mobile Malware verbreitet sich über gefälschte Chrome-Updates

Mithilfe gefälschter Browser-Updates wird eine neue, bislang nicht dokumentierte Android-Malware namens Brokewell verbreitet.

Laut einer im April 2024 veröffentlichten Analyse von Sicherheitsforschern handelt es sich bei Brokewell um eine moderne Banking-Malware, die sowohl über Datendiebstahl- als auch Fernsteuerungsfunktionen verfügt.

Die Schadsoftware wird aktiv weiterentwickelt. Im Zuge der fortlaufenden Entwicklung werden neue Befehle zum Erfassen von Berührungsereignissen, Bildschirmtexten und gestarteten Anwendungen eingeführt.

Brokewell tarnt sich als verschiedene Apps, darunter Google Chrome, ID Austria und Klarna:

• jcwAz.EpLIq.vcAZiUGZpK (Google Chrome)
• zRFxj.ieubP.lWZzwlluca (Ausweis Österreich)
• com.brkwl.upstracking (Klarna)

Wie andere aktuelle Android-Malware kann Brokewell die Beschränkungen von Google für seitlich geladene Apps umgehen, die versuchen, Berechtigungen für den Eingabehilfedienst anzufordern.

Nach der Installation und Ausführung fordert der Banking-Trojaner das Opfer dazu auf, Berechtigungen für den Zugriffsdienst zu erteilen. Dadurch werden automatisch weitere Berechtigungen zur Durchführung bösartiger Aktivitäten erteilt.

Brokewell verfügt über ein vielfältiges Schad-Toolkit

Zu den Fähigkeiten von Brokewell gehören das Anzeigen von Overlay-Bildschirmen zum Stehlen von Benutzeranmeldeinformationen, das Abfangen von Sitzungscookies, das Aufzeichnen von Audiodaten, das Erstellen von Screenshots, der Zugriff auf Anrufprotokolle und den Gerätestandort, das Auflisten installierter Apps, das Senden von SMS-Nachrichten, das Tätigen von Telefonanrufen, das Installieren/Deinstallieren von Apps und das Deaktivieren von Eingabehilfediensten.

Mithilfe der Malware können Bedrohungsakteure Bildschirminhalte aus der Ferne in Echtzeit anzeigen und durch Klicks, Wischen und Berühren mit dem Gerät interagieren.

Brokewell wird einem Entwickler zugeschrieben, der das Pseudonym „Baron Samedit Marais“ verwendet und das Projekt „Brokewell Cyber Labs“ leitet. Das Projekt umfasst einen Android Loader, der auf Gitea gehostet wird und dazu dient, Zugriffsberechtigungsbeschränkungen für bestimmte Android-Versionen zu umgehen und das Trojaner-Implantat bereitzustellen.

Der Loader, der einem Dropper ähnelt, generiert Apps mit dem Standardpaketnamen „com.brkwl.apkstore“, auf den möglicherweise andere Bedrohungsakteure zugreifen können, die versuchen, die Sicherheitsmaßnahmen von Android zu umgehen.