// HEISE ONLINE — CYBERSECURITY
Spyware-Masche gegen Indeed-Nutzer – infizierte Vorstellungsgespräch-Apps
IT-Forscher beobachten eine globale Malware-Kampagne, bei der die Drahtzieher es auf Nutzer der Indeed-Plattform abgesehen haben.
IT-Sicherheitsforscher berichten von vermehrten Angriffen auf Nutzerinnen und Nutzer der Jobsuche-Plattform Indeed. Kriminelle versuchen, sie zur Installation von Malware-Apps zu verleiten. Diese kommen als Vorstellungsgespräch-Apps getarnt daher.
Davor warnen die Virenanalysten von Malwarebytes aktuell. Mehrere Indeed-Nutzer wurden demnach von vermeintlichen Arbeitgebern kontaktiert und angewiesen, eine App für ein Vorstellungsgespräch zu installieren. Die Fälle traten weltweit auf: Aus Brasilien, Großbritannien und weiteren Ländern trugen die IT-Sicherheitsforscher Berichte zusammen, etwa von Betroffenen auf Reddit.
Betroffene berichten davon, dass nach der Installation einer „MyInterview“-APK-Datei, die über einen Dateilink geteilt wurde und nicht aus dem Google Play Store stammte, das Smartphone vollständig kompromittiert wurde. Das Telefon hat nach der Installation Apps geschlossen und die bösartige App unter den Diensten für Barrierefreiheit eingereiht.
Die bösartigen Akteure nutzen als Köder in ihren Anfragen etwa „Vervollständige dein Vorstellungsgespräch durch Installation der Indeed-App“, „Aktualisiere deine Indeed-Applikation“, „Identitätsbestätigung erforderlich“, „Lade unser Recruitment-Portal herunter“ oder „Gehaltsvereinbarung nach der App-Installation verfügbar“ – jeweils jedoch auf Englisch. Die damit angebotenen Android-Apps imitieren die Indeed-Login-Webseite, bevor sie eine VPN-Verbindung nach der Angabe einer E-Mail-Adresse aufbauen. Bei der Analyse entpuppten sich die Apps als sogenannte Trojan Dropper, die zusätzliche nicht vertrauenswürdige Apps nachinstallieren können. Zum Analysezeitpunkt lieferten die Dropper eine Spyware aus. Sobald sie Barrierefreiheit-Zugriffsrechte erlangt, übernimmt sie das Gerät. Sie unterbindet unter anderem auch, dass Nutzer die App wieder deinstallieren.
Das gefälschte Indeed-Jobangebot soll Nutzer zur Installation von Malware verleiten.
Die Betrüger bewerben gefälschte offene Stellen auf Indeed und verlocken Opfer dann dazu, falsche Android-Apps zu installieren, die Indeed imitieren. Nach der Bestätigung des Bewerbungseingangs erhalten Opfer dann Nachrichten, die als Betreff sinngemäß auf Englisch lauten „Vorstellungsgespräch mit “, in der Indeed-Optik daherkommen, mit den genannten Aufforderungen aufwarten und einen Download-Link als Schaltfläche enthalten.
Indeed nutzt eine offizielle Android-App namens „Indeed Job Search“. Das Unternehmen teilte gegenüber Malwarebytes mit, dass Vorstellungsgespräche ausschließlich über die Internet-Plattform von Indeed im Webbrowser laufen und niemals das Herunterladen weiterer Apps erfordern. Jedwede Nachricht an Jobsuchende, die zur Installation einer App für ein Vorstellungsgespräch auffordere, sei nicht legitim. Am Ende der Analyse liefern die Virenjäger noch einige Hinweise auf Infektionen (Indicators of Compromise, IOC).
Den Cyberkriminellen gehen die Ideen nie aus, wie sie Opfern Schadsoftware unterjubeln können. Die Malware-Apps stellen eine konstante Gefahr dar, sie finden sich sogar in den offiziellen App-Stores der Smartphone-Plattformen. Vor einem Jahr hatte das IT-Sicherheitsunternehmen Zscaler etwa 77 Malware-Apps in Googles Play Store entdeckt, die auf 19 Millionen Installationen kamen. Die lieferten den Anatsa-Trojaner aus, der es auf Finanz-Apps auf Android-Geräten abgesehen hat, um Opfern Krypto-Assets und Geld zu stehlen.
Ob Sicherheitslücken, Viren oder Trojaner – alle sicherheitsrelevanten Meldungen gibts bei heise security