RedHook: Der Banking-Trojaner, der sich selbst Systemrechte auf Android verschafft

Eine Infektion, die mit einer vertrauenswürdigen Nachricht beginnt

Der Einstiegspunkt von RedHook hat sich seit seiner ersten Entdeckung im Juli 2025 nicht verändert. Der Angriff beginnt mit einem Anruf oder einer Nachricht, die sich als Bank oder Behörde ausgibt. Das Opfer wird auf eine gefälschte Website geleitet, die den Google Play Store nachahmt und zur Installation einer Anwendung auffordert. Diese APK wird außerhalb des offiziellen Stores heruntergeladen, häufig auf als vertrauenswürdig geltenden Infrastrukturen wie GitHub-Repositories oder Cloud-Speichern gehostet, was die Verbreitung zuverlässiger macht.

Sobald die Anwendung gestartet ist, leitet ein gefälschtes Tutorial den Nutzer an, die Berechtigung für die Bedienungshilfen zu erteilen. Diese Genehmigung verleiht einer Anwendung eine umfassende Kontrolle über die Benutzeroberfläche des Geräts. Sie ist die Grundlage, auf der der gesamte weitere Angriff beruht.

Kabelloses Debugging als Weg zum Systemzugriff missbraucht

Hier hebt sich die neue Version der Malware ab. RedHook nutzt die Bedienungshilfen, um selbst die Entwickleroptionen und anschließend das kabellose Debugging (Wireless ADB) zu aktivieren.

ADB (Android Debug Bridge) ist ein Werkzeug, mit dem normalerweise ein Computer ein Android-Gerät über eine Befehlszeile steuert, um eine Anwendung zu debuggen oder Software zu installieren. Das kabellose Debugging erweitert diese Möglichkeit auf das Netzwerk, ohne USB-Kabel. In beiden Fällen setzt die vorgesehene Nutzung eine dritte Maschine voraus, die als Host fungiert.

Die Malware umgeht diese Einschränkung. Sie lässt die Komponente, die normalerweise auf dem Computer läuft, direkt auf dem Telefon laufen und verbindet sich mit ihr über die interne Netzwerkadresse des Geräts. Das Gerät wird so zu seinem eigenen Host, ohne PC und ohne Kabel. RedHook erhält dann eine privilegierte Shell, eine deutlich höhere Zugriffsebene als die einer gewöhnlichen Anwendung. Mit diesen Rechten kann es Anwendungen installieren und deinstallieren, geschützte Systemeinstellungen ändern und sich selbst sensible Berechtigungen erteilen, alles ohne jeglichen Bestätigungsdialog. Um dies zu erreichen, verwendet es den Code eines Open-Source-Frameworks wieder, das ursprünglich dafür entwickelt wurde, ebendiese Funktionen auf legitime Weise anzubieten.

Hier wird keine Schwachstelle ausgenutzt, sondern lediglich ein legitimes Debugging-Werkzeug in einen Weg zu Systemrechten verwandelt.

Eine Malware, die sich besonders schwer entfernen lässt

RedHook kombiniert diesen Zugriff mit einem besonders robusten Persistenzmechanismus. Zwei seiner Dienste arbeiten im Tandem und starten sich gegenseitig neu, sodass das Beenden des einen sofort den Neustart des anderen auslöst. Die Malware unterhält außerdem eine unsichtbare Ein-Pixel-Aktivität auf dem Bildschirm und spielt ein stummes Audiosignal ab, zwei Mechanismen, die das System dazu bringen, sie als vorrangigen, nicht zu unterbrechenden Prozess zu behandeln. Nach einem Neustart des Telefons reaktiviert sie das kabellose Debugging und stellt ihre Privilegien innerhalb von Sekunden wieder her. Die Deinstallation wird dadurch sehr schwierig.

Ihre Fähigkeiten sind ebenso umfangreich. Sie überträgt den Bildschirm des Opfers in Echtzeit, zeichnet Tastatureingaben auf, stiehlt den Sperrbildschirm-Code, fängt SMS ab und reagiert auf eine breite Palette ferngesteuerter Befehle. Einer davon zeigt insbesondere ein gefälschtes Verifizierungsfenster an und aktiviert die Frontkamera, um das Gesicht des Nutzers zu erfassen.

Bedienungshilfen, ein wiederkehrender Einstiegspunkt für Banking-Trojaner

RedHook ist kein Einzelfall. Anwendungen sind der wichtigste Angriffsvektor auf Mobilgeräten und für 67 % der erkannten Bedrohungen verantwortlich, mit durchschnittlich 15 schädlichen Anwendungen auf einem Gerät.

Der Missbrauch der Bedienungshilfen als Ausgangspunkt ist ein Muster, das sich in zahlreichen Schadprogrammen findet. Der Trojaner Herodotus nutzt ihn, um Banking-Sitzungen in Echtzeit zu übernehmen, PromptSpy, um ein Modul zur Fernsteuerung einzusetzen. Jedes Mal dient dieselbe Berechtigung als Sprungbrett.

RedHook treibt diese Logik einen Schritt weiter, indem es sie nutzt, um Systemrechte zu erreichen.

Wie Pradeo vor RedHook schützt

Angesichts dieser Art von Bedrohung setzt Pradeo Mobile Threat Defense auf mehreren Ebenen an:

• Jede Anwendung, die eine kritische Berechtigung wie die Bedienungshilfen anfordert, wird sofort als potenziell schädlich gemeldet.
• Die Lösung erkennt Anwendungen, die außerhalb der offiziellen Stores installiert werden, also genau die Verbreitungsmethode von RedHook.
• Der Anti-Phishing-Schutz blockiert betrügerische Links, die per SMS versendet werden, und unterbricht den Angriff an seinem Einstiegspunkt.
• Sie überwacht außerdem riskante Konfigurationen über die gesamte Flotte hinweg. Jede ungewöhnliche Aktivierung der Entwickleroptionen und des kabellosen Debuggings wird automatisch gemeldet.