Red Alert-App: Gefälschte Notfall-App spioniert Android-Nutzer aus

Eine als israelische Notfall-App getarnte Spyware sammelt über SMS-Phishing persönliche Daten und Standortinformationen. Die Kampagne nutzt die Angst in Krisengebieten aus und stellt eine erhebliche Sicherheitsbedrohung dar.

Ein gefährlicher Spionage-Angriff tarnt sich als israelische Warn-App für Raketenalarme. Die Schadsoftware nutzt die Angst der Bevölkerung in Krisengebieten aus und stiehlt sensible Daten.

CloudSEK hat eine hochgefährliche Mobile-Espionage-Kampagne aufgedeckt. Die Angreifer verteilen eine präparierte Version der offiziellen israelischen „Red Alert“-Notfall-App. Sie nutzen die öffentliche Verunsicherung durch anhaltende regionale Konflikte, um leistungsfähige Spyware auf Android-Geräten zu installieren. Die täuschend echte App soll persönliche Daten wie Kontaktlisten, private Nachrichten und den Standort in Echtzeit abgreifen.

Anzeige

Der aktuelle Fall zeigt drastisch, wie gezielt Kriminelle die Gutgläubigkeit von Smartphone-Nutzern ausnutzen, um an sensible Daten zu gelangen. Dieser kostenlose Ratgeber unterstützt Sie dabei, Ihr Android-Gerät mit einfachen Schritten gegen solche Spionage-Angriffe und Datenklau abzusichern. 5 sofort umsetzbare Schutzmaßnahmen entdecken

Täuschung per SMS: So funktioniert der Angriff

Die Schadsoftware wird per gezielter SMS-Phishing-Kampagne („Smishing“) verbreitet. Die Nachrichten scheinen von offiziellen Quellen wie dem israelischen Home Front Command zu stammen. Sie erzeugen Dringlichkeit und fordern Nutzer auf, ein angebliches „Kriegs-Update“ über einen mitgeschickten Link zu installieren. Diese Methode umgeht die Sicherheitsvorkehrungen des Google Play Stores.

Der entscheidende Unterschied liegt in den Berechtigungen. Während die echte App nur grundlegende Benachrichtigungsrechte benötigt, fordert die gefälschte Version umfangreichen Zugriff. Dazu zählen das Lesen aller SMS, der Zugriff auf Kontaktlisten und die permanente GPS-Ortung – weit über das für ein Warnsystem Nötige hinaus. Sicherheitsanalysten von Unit 42 bestätigen diese Kampagne als Teil einer breiteren Eskalation von Cyberangriffen in der Region.

Hochgefährliche Spyware mit Tarnkappen-Funktion

Unter der täuschenden Oberfläche verbirgt sich eine mehrstufige Überwachungssoftware. Die Malware nutzt fortgeschrittene Techniken, um legitim zu wirken und Sicherheitschecks zu umgehen. So fälscht sie das Signaturzertifikat der Original-App von 2014 und manipuliert Installationsdaten, um den Eindruck eines Downloads aus dem Play Store zu erwecken.

Der Infektionsprozess ist komplex. Ein Loader entpackt nach der Installation versteckte schädliche Komponenten. Dynamisches Nachladen von Code und Proxying verschleiern die wahren Absichten vor Sicherheitssoftware. Sobald der Nutzer sensible Berechtigungen erteilt, beginnt die Spyware im Hintergrund mit der Datensammlung. Die gestohlenen Informationen – darunter komplette SMS-Postfächer und permanente Standortdaten – werden an einen kompromittierten Server (api.ra-backup[.]com) gesendet. Die Betreiber tarnen ihre Infrastruktur weiter durch die Nutzung von AWS- und Cloudflare-Diensten.

Anzeige

Um sich vor derart komplexer Spyware zu schützen, reicht die Installation von Updates allein oft nicht aus. Erfahren Sie in diesem kompakten Leitfaden, wie Sie durch automatische Prüfungen und gezielte App-Checks eine häufig unterschätzte Sicherheitslücke auf Ihrem Smartphone schließen. Kostenlosen Sicherheits-Ratgeber herunterladen

Reale Gefahren: Von Standorttracking bis zum Vertrauensverlust

Die Folgen dieser Kampagne gehen weit über digitalen Datendiebstahl hinaus. Die ständige GPS-Ortung während Luftalarmen könnte die Position von Zivilschutzbunkern verraten oder die Bewegungen von einberufenen Reservisten preisgeben. Die Fähigkeit, SMS abzufangen, stellt eine massive Bedrohung dar. Angreifer könnten so Zwei-Faktor-Authentifizierungscodes (2FA) für Bankkonten und andere sensible Dienste umgehen.

Solche Angriffe haben auch eine strategische Komponente in der hybriden Kriegsführung. Sie untergraben das öffentliche Vertrauen in kritische Infrastruktur. Die missbräuchliche Nutzung des Brandings einer Notfall-App riskiert, dass Bürger den Systemen misstrauen, die sie eigentlich schützen sollen. Diese Verunsicherung kann im Ernstfall zu gefährlichem Zögern führen. Bereits im Oktober 2023 wurden ähnliche Angriffe auf israelische Raketenwarn-Apps beobachtet – ein Zeichen für eine anhaltende und sich weiterentwickelnde Bedrohung.

Schutzmaßnahmen: So bleiben Nutzer sicher

Cybersicherheitsexperten raten zu äußerster Vorsicht. Die wichtigste Regel: Nie Apps aus unbekannten Quellen installieren, insbesondere nicht über Links aus SMS oder Messengern. Notfall- und Regierungs-Apps sollten ausschließlich aus offiziellen Stores wie dem Google Play Store bezogen werden.

Nutzer sollten die Berechtigungen jeder App kritisch prüfen. Eine Warn-App benötigt keinen Zugriff auf Kontakte oder SMS. Wer den Verdacht hat, sein Gerät könnte infiziert sein, sollte es sofort vom Netzwerk trennen und einen kompletten Werksreset durchführen, um die Schadsoftware sicher zu entfernen. Netzwerkadministratoren in betroffenen Regionen wird empfohlen, bekannte schädliche Domains der Kampagne zu blockieren. Die Instrumentalisierung vertrauenswürdiger Sicherheitswerkzeuge markiert eine beunruhigende neue Front im Cyberkrieg.