Wie man FireScam von Android-Geräten entfernt
Verfasst von Tomas Meskauskas am
Was ist FireScam?
FireScam ist eine Malware, die auf Android-Geräte abzielt. Die Bedrohungsakteure verbreiten die Malware über eine gefälschte Telegram Premium-App auf einer Phishing-Website. FireScam infiziert Geräte mit einer Dropper-APK. Die Malware vermeidet die Erkennung und stiehlt Daten, indem sie beliebte Dienste wie Firebase nutzt. Sie sollte so schnell wie möglich von infizierten Geräten entfernt werden.
FireScam im Detail
Nach dem Einschleusen überprüft FireScam die Anwendungen und Details des infizierten Geräts, wie z. B. das Modell und die Systemversion, um festzustellen, ob es sich in einer kontrollierten oder virtuellen Umgebung befindet. Dies hilft ihm, die Entdeckung zu vermeiden, die Angriffe anzupassen und die Sicherheitsmaßnahmen für eine erfolgreiche Operation zu umgehen.
FireScam registriert einen Dienst zur Verarbeitung von Firebase-Push-Benachrichtigungen. Beim Empfang einer Nachricht wird der Dienst durch ein bestimmtes Ereignis aktiviert. Dieser Dienst kann Remote-Befehle ausführen, bösartige Nutzdaten übermitteln und sensible Daten vom Gerät an einen Remote-Server senden, ohne dass das Opfer dies bemerkt.
Außerdem kann die Malware auf die Nachrichten-App zugreifen und den Inhalt von Textnachrichten erfassen. Diese Funktion ermöglicht es Angreifern, auf private Nachrichtendaten zuzugreifen und diese zu stehlen. Außerdem erkennt FireScam, wenn der Bildschirm des Geräts ein- oder ausgeschaltet wird, und protokolliert das Ereignis zusammen mit dem Namen der App. Anschließend sendet es diese Informationen an eine Firebase-Datenbank, so dass Angreifer die Geräteaktivität verfolgen können.
Die Malware nutzt auch einen Dienst, um bestimmte Benachrichtigungen auf dem Gerät zu verfolgen, z. B. Nachrichtenwarnungen. Sie ignoriert einige Arten von Benachrichtigungen, z. B. stille Benachrichtigungen. Zu den Apps, auf die FireScam abzielt, gehören Telegram, Viber, VK und WhatsApp. FireScam zielt auch auf Daten aus anderen Anwendungen ab, z. B. aus der Telefon-App, dem Google Play Store und anderen.
FireScam überwacht alle Benachrichtigungen, die bestimmten Filtern entsprechen, und kann so auf sensible Informationen aus jeder App zugreifen. Es bittet um die Erlaubnis, alle Benachrichtigungen einzusehen und kann so Nachrichten und Anrufe abfangen und Aktivitäten wie Anmeldungen verfolgen, was die Privatsphäre gefährdet.
Die Malware lauscht auf USSD-Antworten (z. B. von Mobilfunkdiensten) und erfasst Details wie Kontostände oder Transaktionen. Mit Zugriff auf SMS- und Telefondienste kann sie heimlich USSD-Aktionen verfolgen und sensible Daten stehlen.
Außerdem verfolgt FireScam Daten aus verschiedenen Quellen wie Texteingaben, Autofill-Daten, Zwischenablage, Drag-and-Drop-Aktionen und App-Sharing. Es sammelt sensible Informationen wie Passwörter oder persönliche Nachrichten und sendet sie an einen Remote-Server. Indem er überwacht, woher die Daten kommen, kann er gezielt Informationen stehlen und als Spyware fungieren.
Die Malware überprüft auch, wie lange der Bildschirm aktiv bleibt, und zeichnet Benutzerinteraktionen auf. Durch die Überwachung der Benutzeraktivitäten kann die Malware etwas über die App-Nutzung und die Benutzergewohnheiten erfahren und so sensible Informationen für gezielte Werbung, Betrug oder Spionage sammeln.
Außerdem überwacht FireScam E-Commerce-Aktivitäten, indem es nach bestimmten Ereignissen wie Käufen oder Rückzahlungen sucht. Wenn es solche Ereignisse erkennt, protokolliert es sie und kann so das Benutzerverhalten in Shopping-Apps verfolgen. Dies kann der Malware helfen, sensible Transaktions- und Zahlungsdaten zu sammeln.
Es ist auch wichtig zu wissen, dass FireScam Bilder von einer bestimmten URL herunterladen kann. Dies könnte zur Übertragung von Daten oder zur Bereitstellung zusätzlicher bösartiger Nutzdaten (in Bildern versteckte Malware) verwendet werden. Er kann Firebase Messaging oder andere Kanäle nutzen, um diese Bilder zu empfangen und so weitere Angriffe zu ermöglichen.
| Name | FireScam spyware |
| Bedrohungstyp | Android-Malware, bösartige Anwendung, unerwünschte Anwendung. |
| Namen der Erkennung | Avast-Mobile (Android:Evo-gen [Trj]), Combo Cleaner (Android.Riskware.Kerty.aAGC), ESET-NOD32 (Eine Variante von Android/Spy.Agent.DVZ), Kaspersky (HEUR:Trojan-Banker.AndroidOS.Mamont.bb), vollständige Liste (VirusTotal) |
| Symptome | Das Gerät läuft langsam, die Systemeinstellungen werden ohne Erlaubnis des Benutzers geändert, fragwürdige Anwendungen werden angezeigt, der Daten- und Akkuverbrauch wird erheblich erhöht, Browser leiten zu fragwürdigen Websites um, aufdringliche Werbung wird angezeigt. |
| Verbreitungsmethoden | Social Engineering, betrügerische Anwendungen, betrügerische Websites. |
| Schaden | Gestohlene persönliche Informationen (private Nachrichten, Logins/Passwörter usw.), verringerte Geräteleistung, schnell entladener Akku, verringerte Internetgeschwindigkeit, große Datenverluste, finanzielle Verluste, gestohlene Identität. |
| Malware-Entfernung (Android) | Um mögliche Malware-Infektionen zu entfernen, scannen Sie Ihren Mobilgerät mit einer legitimen Antivirus-Software. Unsere Sicherheitsforscher empfehlen die Verwendung von Combo Cleaner. |
Schlussfolgerung
Zusammenfassend lässt sich sagen, dass es sich bei FireScam um eine hochentwickelte Malware handelt, die verschiedene Taktiken einsetzt, um infizierte Geräte zu infiltrieren und zu überwachen. Es handelt sich um eine gefährliche und hartnäckige Bedrohung, die die Privatsphäre gefährdet, den Datendiebstahl erleichtert und die Tür für weitere bösartige Aktivitäten öffnet.
Einige Beispiele für andere Android-Malware sind NoviSpy, PlainGnome und BoneSpy.
Wie hat FireScam mein Gerät infiltriert?
Die Malware wird über eine gefälschte Telegram Premium APK auf einer auf GitHub.io gehosteten Phishing-Website verbreitet, die vorgibt, der RuStore App Store zu sein. Die Website liefert einen Dropper, der FireScam installiert, das als die Telegram Premium-App getarnt ist. Die Haupt-Malware-Datei, Telegram Premium.apk (ru.get.app), wurde entwickelt, um Geräte mit Android-Versionen von 8 bis 15 zu infizieren.
Der Dropper installiert sich als eine App namens GetAppsRu. Wenn Sie sie öffnen, zeigt sie eine Option zur Installation von Telegram Premium an. Nach der Anzeige einer Sicherheitswarnung wird die FireScam-Malware (namens child.apk) auf dem Gerät installiert, die vorgibt, die Telegram Premium-App zu sein.
Wie lässt sich die Installation von Malware vermeiden?
Laden Sie Apps aus vertrauenswürdigen Quellen herunter, z. B. aus offiziellen App-Stores (Google Play, Apple App Store) oder von seriösen Websites. Verwenden Sie seriöse Antiviren-Software, um Bedrohungen zu erkennen und zu blockieren. Aktualisieren Sie regelmäßig alle Anwendungen und das Betriebssystem. Klicken Sie nicht auf Links oder öffnen Sie keine Anhänge in unerwünschten E-Mails oder Nachrichten, insbesondere von unbekannten Absendern.
Vermeiden Sie die Interaktion mit Pop-ups, Anzeigen, Links, Schaltflächen usw., die Sie auf dubiosen Websites finden.
Betrügerische Website, die für eine gefälschte Telegram Premium-App wirbt (Quelle: cyfirma.com):
FireScam-Installationsaufforderung (Quelle: cyfirma.com):
Gefälschte App fordert Berechtigungen an (Quelle: cyfirma.com):
Gefälschtes Telegram-Anmeldefenster (Quelle: cyfirma.com):
Schnelles Menü:
- Einführung
- Wie löscht man den Browserverlauf im Chrome-Webbrowser?
- Wie deaktiviere ich Browser-Benachrichtigungen im Chrome-Webbrowser?
- Wie setzt man den Chrome-Webbrowser zurück?
- Wie löscht man den Browserverlauf im Firefox-Webbrowser?
- Wie deaktiviert man die Browser-Benachrichtigungen im Firefox-Webbrowser?
- Wie setzt man den Firefox-Webbrowser zurück?
- Wie deinstalliert man potenziell unerwünschte und/oder bösartige Anwendungen?
- Wie bootet man das Android-Gerät im "abgesicherten Modus"?
- Wie kann ich den Akkuverbrauch verschiedener Anwendungen überprüfen?
- Wie kann ich die Datennutzung verschiedener Anwendungen überprüfen?
- Wie kann ich die neuesten Software-Updates installieren?
- Wie setzt man das System auf den Standardzustand zurück?
- Wie kann ich Anwendungen mit Administratorrechten deaktivieren?
Löschen Sie den Browserverlauf aus dem Chrome-Webbrowser:
Tippen Sie auf die Schaltfläche "Menü" (drei Punkte in der rechten oberen Ecke des Bildschirms) und wählen Sie "Verlauf" im geöffneten Dropdown-Menü.
Tippen Sie auf "Browserdaten löschen", wählen Sie die Registerkarte "ERWEITERT", wählen Sie den Zeitraum und die Datentypen, die Sie löschen möchten, und tippen Sie auf "Daten löschen".
[Zurück zum Inhaltsverzeichnis]
Deaktivieren Sie die Browser-Benachrichtigungen im Chrome-Webbrowser:
Tippen Sie auf die Schaltfläche "Menü" (drei Punkte in der rechten oberen Ecke des Bildschirms) und wählen Sie "Einstellungen" im geöffneten Dropdown-Menü.
Scrollen Sie nach unten, bis Sie die Option "Website-Einstellungen" sehen und tippen Sie darauf. Scrollen Sie nach unten, bis Sie die Option "Benachrichtigungen" sehen und tippen Sie darauf.
Suchen Sie die Websites, die Browser-Benachrichtigungen liefern, tippen Sie auf sie und klicken Sie auf "Löschen & zurücksetzen". Dadurch werden die für diese Websites erteilten Genehmigungen zum Senden von Benachrichtigungen entfernt. Wenn Sie dieselbe Website jedoch erneut besuchen, kann sie Sie erneut um eine Genehmigung bitten. Sie können wählen, ob Sie diese Erlaubnis erteilen wollen oder nicht (wenn Sie sich weigern, wird die Website in den Abschnitt "Blockiert" verschoben und fragt Sie nicht mehr nach der Erlaubnis).
[Zurück zum Inhaltsverzeichnis]
Setzen Sie den Chrome-Webbrowser zurück:
Gehen Sie zu "Einstellungen", scrollen Sie nach unten, bis Sie "Apps" sehen und tippen Sie darauf.
Scrollen Sie nach unten, bis Sie die Anwendung "Chrome" finden, wählen Sie sie aus und tippen Sie auf die Option "Speicher".
Tippen Sie auf "SPEICHER VERWALTEN", dann auf "ALLE DATEN LÖSCHEN" und bestätigen Sie die Aktion durch Tippen auf "OK". Beachten Sie, dass durch das Zurücksetzen des Browsers alle darin gespeicherten Daten gelöscht werden. Dies bedeutet, dass alle gespeicherten Logins/Passwörter, der Browserverlauf, nicht standardmäßige Einstellungen und andere Daten gelöscht werden. Sie müssen sich auch bei allen Websites neu anmelden.
[Zurück zum Inhaltsverzeichnis]
Löschen Sie den Browserverlauf aus dem Firefox-Webbrowser:
Tippen Sie auf die Schaltfläche "Menü" (drei Punkte in der rechten oberen Ecke des Bildschirms) und wählen Sie "Verlauf" im geöffneten Dropdown-Menü.
Scrollen Sie nach unten, bis Sie "Private Daten löschen" sehen und tippen Sie darauf. Wählen Sie die Datentypen, die Sie entfernen möchten, und tippen Sie auf "Daten löschen".
[Zurück zum Inhaltsverzeichnis]
Deaktivieren Sie die Browser-Benachrichtigungen im Firefox-Webbrowser:
Besuchen Sie die Website, die Browser-Benachrichtigungen liefert, tippen Sie auf das Symbol links in der URL-Leiste (das Symbol muss nicht unbedingt ein "Schloss" sein) und wählen Sie "Website-Einstellungen bearbeiten".
Wählen Sie in dem sich öffnenden Pop-up die Option "Benachrichtigungen" und tippen Sie auf "CLEAR".
[Zurück zum Inhaltsverzeichnis]
Setzen Sie den Firefox-Webbrowser zurück:
Gehen Sie zu "Einstellungen", scrollen Sie nach unten, bis Sie "Apps" sehen und tippen Sie darauf.
Scrollen Sie nach unten, bis Sie die Anwendung "Firefox" finden, wählen Sie sie aus und tippen Sie auf die Option "Speicher".
Tippen Sie auf "DATEN LÖSCHEN" und bestätigen Sie die Aktion mit "LÖSCHEN". Beachten Sie, dass durch das Zurücksetzen des Browsers alle darin gespeicherten Daten gelöscht werden. Dies bedeutet, dass alle gespeicherten Logins/Passwörter, der Browserverlauf, nicht standardmäßige Einstellungen und andere Daten gelöscht werden. Sie müssen sich auch bei allen Websites neu anmelden.
[Zurück zum Inhaltsverzeichnis]
Deinstallieren Sie potenziell unerwünschte und/oder bösartige Anwendungen:
Gehen Sie zu "Einstellungen", scrollen Sie nach unten, bis Sie "Apps" sehen und tippen Sie darauf.
Scrollen Sie nach unten, bis Sie eine potenziell unerwünschte und/oder bösartige Anwendung sehen, wählen Sie sie aus und tippen Sie auf "Deinstallieren". Wenn Sie aus irgendeinem Grund nicht in der Lage sind, die ausgewählte Anwendung zu entfernen (z. B. wenn Sie eine Fehlermeldung erhalten), sollten Sie versuchen, den "Abgesicherten Modus" zu verwenden.
[Zurück zum Inhaltsverzeichnis]
Starten Sie das Android-Gerät im "abgesicherten Modus":
Im "abgesicherten Modus" des Android-Betriebssystems werden vorübergehend alle Anwendungen von Drittanbietern deaktiviert. Die Verwendung dieses Modus ist eine gute Möglichkeit, verschiedene Probleme zu diagnostizieren und zu lösen (z. B. bösartige Anwendungen zu entfernen, die Benutzer daran hindern, dies zu tun, wenn das Gerät "normal" läuft).
Drücken Sie die "Power" - Taste und halten Sie sie gedrückt, bis Sie den Bildschirm "Ausschalten" sehen. Tippen Sie auf das Symbol "Ausschalten" und halten Sie es gedrückt. Nach ein paar Sekunden erscheint die Option "Abgesicherter Modus" und Sie können sie durch einen Neustart des Geräts ausführen.
[Zurück zum Inhaltsverzeichnis]
Überprüfen Sie den Akkuverbrauch verschiedener Anwendungen:
Gehen Sie zu "Einstellungen", scrollen Sie nach unten, bis Sie "Gerätewartung" sehen und tippen Sie darauf.
Tippen Sie auf "Akku" und überprüfen Sie die Nutzung der einzelnen Anwendungen. Legitime/echte Anwendungen sind so konzipiert, dass sie so wenig Energie wie möglich verbrauchen, um das beste Benutzererlebnis zu bieten und Energie zu sparen. Daher kann ein hoher Batterieverbrauch darauf hinweisen, dass die Anwendung bösartig ist.
[Zurück zum Inhaltsverzeichnis]
Überprüfen Sie die Datennutzung verschiedener Anwendungen:
Gehen Sie zu "Einstellungen", scrollen Sie nach unten, bis Sie "Verbindungen" sehen und tippen Sie darauf.
Scrollen Sie nach unten, bis Sie "Datennutzung" sehen, und wählen Sie diese Option. Wie beim Akku sind auch legitime/echte Anwendungen darauf ausgelegt, die Datennutzung so weit wie möglich zu minimieren. Das bedeutet, dass ein hoher Datenverbrauch auf das Vorhandensein einer bösartigen Anwendung hinweisen kann. Beachten Sie, dass einige bösartige Anwendungen so konzipiert sein können, dass sie nur funktionieren, wenn das Gerät mit einem drahtlosen Netzwerk verbunden ist. Aus diesem Grund sollten Sie sowohl die mobile als auch die Wi-Fi-Datennutzung überprüfen.
Wenn Sie eine Anwendung finden, die sehr viele Daten verbraucht, obwohl Sie sie nie benutzen, sollten Sie sie so schnell wie möglich deinstallieren.
[Zurück zum Inhaltsverzeichnis]
Installieren Sie die neuesten Software-Updates:
Die Software auf dem neuesten Stand zu halten, ist eine gute Praxis, wenn es um die Gerätesicherheit geht. Die Gerätehersteller veröffentlichen ständig verschiedene Sicherheitspatches und Android-Updates, um Fehler und Bugs zu beheben, die von Cyberkriminellen missbraucht werden können. Ein veraltetes System ist viel anfälliger, weshalb Sie immer sicherstellen sollten, dass die Software Ihres Geräts auf dem neuesten Stand ist.
Gehen Sie zu "Einstellungen", scrollen Sie nach unten, bis Sie "Softwareaktualisierung" sehen und tippen Sie darauf.
Tippen Sie auf "Updates manuell herunterladen" und prüfen Sie, ob Updates verfügbar sind. Wenn ja, installieren Sie sie sofort. Wir empfehlen Ihnen außerdem, die Option "Updates automatisch herunterladen" zu aktivieren - dann werden Sie vom System benachrichtigt, sobald ein Update verfügbar ist und/oder es wird automatisch installiert.
[Zurück zum Inhaltsverzeichnis]
Setzen Sie das System auf den Standardzustand zurück:
Das Zurücksetzen auf die Werkseinstellungen ist eine gute Möglichkeit, um alle unerwünschten Anwendungen zu entfernen, die Systemeinstellungen auf die Standardwerte zurückzusetzen und das Gerät allgemein zu reinigen. Sie müssen jedoch bedenken, dass alle Daten auf dem Gerät gelöscht werden, einschließlich Fotos, Video-/Audiodateien, Telefonnummern (die auf dem Gerät und nicht auf der SIM-Karte gespeichert sind), SMS-Nachrichten und so weiter. Mit anderen Worten: Das Gerät wird in seinen ursprünglichen Zustand zurückversetzt.
Sie können auch die grundlegenden Systemeinstellungen und/oder einfach die Netzwerkeinstellungen wiederherstellen.
Gehen Sie zu "Einstellungen", scrollen Sie nach unten, bis Sie "Über das Telefon" sehen und tippen Sie darauf.
Scrollen Sie nach unten, bis Sie "Zurücksetzen" sehen, und tippen Sie darauf. Wählen Sie nun die Aktion aus, die Sie durchführen möchten:
"Einstellungen zurücksetzen" - setzt alle Systemeinstellungen auf die Standardwerte zurück;
"Netzwerkeinstellungen zurücksetzen" - setzt alle netzwerkbezogenen Einstellungen auf die Standardwerte zurück;
"Werksdaten zurücksetzen" - setzt das gesamte System zurück und löscht alle gespeicherten Daten vollständig;
[Zurück zum Inhaltsverzeichnis]
Deaktivieren Sie Anwendungen, die über Administratorrechte verfügen:
Wenn eine bösartige Anwendung Administratorrechte erhält, kann sie das System ernsthaft beschädigen. Um das Gerät so sicher wie möglich zu halten, sollten Sie immer überprüfen, welche Anwendungen solche Rechte haben und diejenigen deaktivieren, die dies nicht sollten.
Gehen Sie zu "Einstellungen", scrollen Sie nach unten, bis Sie "Bildschirm sperren und Sicherheit" sehen und tippen Sie darauf.
Scrollen Sie nach unten, bis Sie "Andere Sicherheitseinstellungen" sehen, tippen Sie darauf und dann auf "Geräteadministratoranwendungen".
Identifizieren Sie Anwendungen, die keine Administratorrechte haben sollten, tippen Sie auf diese und dann auf "DEAKTIVIEREN".
Häufig gestellte Fragen (FAQ)
Mein Gerät ist mit FireScam-Malware infiziert. Sollte ich mein Speichergerät formatieren, um es loszuwerden?
Das Formatieren Ihres Speichermediums kann die Malware entfernen, ist aber eine drastische Maßnahme. Bevor Sie zu dieser Maßnahme greifen, sollten Sie einen vollständigen Scan mit einer vertrauenswürdigen Sicherheitssoftware wie Combo Cleaner durchführen, um zu prüfen, ob FireScam erkannt und entfernt werden kann.
Was sind die größten Probleme, die Malware verursachen kann?
Malware kann zu Datenverlusten, Diebstahl von persönlichen Informationen, Systemabstürzen, langsamer Leistung, unbefugtem Zugriff auf sensible Dateien, finanziellen Verlusten, Identitätsdiebstahl und der Verbreitung weiterer Infektionen führen.
Was ist der Zweck von FireScam?
FireScam wurde entwickelt, um wertvolle Informationen zu stehlen, Benutzer auszuspionieren und weitere bösartige Aktionen durchzuführen, während es auf dem Gerät unentdeckt bleibt.
Wie hat FireScam mein Gerät infiltriert?
FireScam ist wahrscheinlich über eine gefälschte "Telegram Premium"-App, die von einer Phishing-Website heruntergeladen wurde, in Ihr Gerät eingedrungen. Die App fungiert als Dropper, installiert die Malware und fordert die Erlaubnis zum Zugriff auf sensible Daten wie Nachrichten und Benachrichtigungen an. Anschließend kommuniziert sie mit einem Remote-Server, um Informationen zu stehlen und Nutzeraktivitäten zu verfolgen.
Schützt mich Combo Cleaner vor Malware?
Ja, Combo Cleaner kann fast alle bekannten Malware-Infektionen erkennen und entfernen. Allerdings versteckt sich fortgeschrittene Malware oft tief im System. Daher wird empfohlen, einen vollständigen Systemscan durchzuführen, um eine vollständige Entfernung sicherzustellen.
Ausgezeichnet!
▼ Diskussion einblenden