„Ihr Paket kommt an“: Vorsicht vor Tracking-SMS

„Ihr Paket kommt an, verfolgen Sie es hier“: Wer den Link der SMS folgt, kommt auf eine vermeintliche Website der Zusteller DHL oder FedEx. Dort soll man die entsprechende Tracking-App herunterladen.

Wer das macht und der App leichtfertigt die angeforderten Berichtigungen erteilt, gibt Cyberkriminellen die Möglichkeit das Bankkonto zu plündern.

FluBot

Das IT-Security-Unternehmen ESET berichtet von dieser aktuellen Spamwelle. Sie läuft seit mindestens 15. März in Deutschland, ist schon länger in Spanien aktiv und auch in Polen. Sie könnte in Kürze auf weitere europäische Länder überschwappen, darunter auch Österreich.

Die Masche ist immer die Gleiche. Die SMS mit dem oben geschriebenen Text kommt und lockt den User auf die gefälschte Website. Die DHL- oder FedEx-App, die dort angeboten wird, wird mit dem entsprechende Namen und dem korrekten Logo der Paketzusteller installiert. Tatsächlich holt man sich damit aber den Banken-Trojaner FluBot aufs Handy.

Dieser ist darauf spezialisiert, auf Android-Smartphones die 2-Faktor-Authentifizierung auszuhebeln. Dazu liest er aus SMS und Benachrichtigungen Einmal-Passwörter aus, wie sie etwa beim Einloggen ins Internet-Banking und zur Bestätigung von Überweisungen verwendet werden.

Der Trojaner kann außerdem Bildschirminhalte abgreifen und die Benutzeroberflächen von verbreiteten Banking- und Krypto-Börsen-Apps imitieren. Öffnet man diese echten Apps und gibt das Passwort ein, gibt man es in Wirklichkeit in eine Eingabemaske des Trojaners ein. Der übermittelt dann die Zugangsdaten an die Cyberkriminellen, die damit das Konto leeren.

Telefonnummer abgegriffen

Außerdem krallt sich der Trojaner die Kontaktliste der infizierten Smartphones. So kann er sich per SMS weiterverbreiten. Daher ist es wohl nur eine Frage der Zeit, bis die betrügerischen SMS auch Österreich erreichen werden.

Laut ESET wurden bereits über 11 Millionen Telefonnummern abgegriffen, als die Angriffswelle Ende 2020 in Spanien begonnen hat. Wie viele Telefonnummern der Trojaner bisher von deutschen Nutzern abgegriffen hat, ist noch nicht bekannt.

Der Schutz gegen diese Art von Angriff ist relativ einfach: Keine Links in SMS öffnen, keine Apps aus unbekannter Quelle herunterladen und einer Paket-Tracking-App, die Benachrichtigungen und den Bildschirminhalt auslesen will, keinesfalls diese Berechtigungen geben.