Eine kürzlich durchgeführte Cybersicherheitsuntersuchung hat Folgendes aufgedeckt: digitale Spionagekampagne, die verwendet Spiele für Windows und Android Als Köder, um Nutzer zu infizieren. Hinter einer scheinbar harmlosen Unterhaltungsplattform verbirgt sich ausgeklügelte Schadsoftware, die Audio aufzeichnen, Dokumente stehlen und Geräte fernsteuern kann.
Der Fall hat unter Fachleuten besondere Besorgnis ausgelöst, da er zwei sehr häufige Faktoren vereint: den Anstieg von Spiele auf Mobilgeräten und PC und der Brauch von Laden Sie Anwendungen außerhalb offizieller Stores herunterObwohl sich die Operation auf eine bestimmte Region Chinas konzentriert, ist die Vorgehensweise der Angreifer perfekt auf Europa und Spanien übertragbar, wo die intensive Nutzung inoffizieller Spiele und Anwendungen ebenfalls Realität ist.
Eine Spieleplattform, die sich in ein Werkzeug fĂĽr Cyberspionage verwandelt hat
Laut dem ESET-Forschungsteam basiert der Angriff auf einem Spielplattform bekannt als Yanbian Red TenDie Plattform, die traditionelle Karten- und Brettspiele anbietet, wurde fĂĽr Windows und Android kompromittiert, um versteckte Spyware, sogenannte HintertĂĽren, zu verbreiten.
Die Nutzer luden die Spiele von der offiziellen Website der Plattform herunter, ĂĽberzeugt davon, dass es sich um legitime und sichere Anwendungen handelte. In Wirklichkeit waren sie jedoch... Trojanisierte SpieleDas Spiel funktionierte und man konnte spielen, aber gleichzeitig installierte es im Hintergrund Schadsoftware mit umfangreichen Spionagefunktionen.
Im Fall von Windows stellte ESET fest, dass der Spielclient durch eine schädliches Update was schließlich zur Installation führte zwei verschiedene Hecktüren auf den betroffenen Computern. Auf Android wurden mehrere Spiele, die auf derselben Plattform verfügbar sind, so modifiziert, dass sie eine mobile Version der Hintertür enthielten.
Die Ermittlungen schreiben den Angriff der ScarCruft-Gruppe zu, die auch als ScarCruft bekannt ist. APT37 oder ReaperDiese mit nordkoreanischen Interessen verbündete Cyberspionageorganisation konzentriert ihre Operationen seit Jahren auf Asien, insbesondere auf Südkorea und die umliegenden Gebiete. Experten schließen jedoch nicht aus, dass ähnliche Taktiken auch auf anderen Märkten, einschließlich Europa, angewendet werden könnten.
Das Hauptziel der Kampagne ist Spionage gegen Personen und Organisationen Diese Angriffe stehen in Verbindung mit der Region Yanbian, einem chinesischen Gebiet mit einer bedeutenden koreanischen Bevölkerungsgruppe, das als Transitpunkt für nordkoreanische Flüchtlinge und Überläufer gilt. Daher handelt es sich nicht um einen rein wirtschaftlichen Angriff, sondern um eine Operation mit klarer politischer und geheimdienstlicher Motivation.
Was ist eine Hintertür und warum ist sie so gefährlich?
Zentraler Bestandteil dieser Kampagne ist die Verwendung von Hintertüren oder HecktürenHierbei handelt es sich um eine Form von Schadsoftware, die dem Angreifer Fernzugriff und unbemerkten Zugriff auf das infizierte Gerät ermöglicht, sei es ein Windows-Computer oder ein Android-Mobiltelefon.
Sobald die Hintertür installiert ist, ermöglicht sie Cyberkriminellen das System teilweise kontrollierenSie können Befehle ausführen, weitere Schadsoftware herunterladen, Dateien verändern, neue Spyware installieren oder sogar Sicherheitslösungen deaktivieren. All dies, ohne dass der Benutzer in vielen Fällen offensichtliche Veränderungen bemerkt.
Im Gegensatz zu anderen, auffälligeren Virenarten, die üblicherweise Abstürze, Einfrieren oder Pop-ups verursachen, sind diese Hintertüren so konzipiert, dass sie … lange Zeit unbemerkt bleibenWährend das mit einem Trojaner infizierte Spiel weiterläuft und den Benutzer unterhält, arbeitet die Schadsoftware im Hintergrund und sammelt relevante Daten.
Diese Vorgehensweise, bei der wenig Aufmerksamkeit erregt wird, hat sich zu einem klaren Trend bei Cyberkriminalität und staatlich geförderten Spionageoperationen entwickelt. Für eine Gruppe wie Scarface ist sie weitaus nützlicher. bleiben monatelang oder sogar jahrelang im System.durch die kontinuierliche Gewinnung von Informationen, was zu unmittelbaren und offensichtlichen Schäden führt, die Alarm auslösen.
Darüber hinaus tarnen die Angreifer die Hintertür in Spielen, die legitim erscheinen und von der offiziellen Website der Plattform bezogen werden. Die Wahrscheinlichkeit, dass das Opfer ihnen vertraut, steigt. Während des Downloads und deaktivieren Sie jegliche anfänglichen Verdachtsmomente.
BirdCall: die Android-Malware, die Audio aufzeichnet und Daten stiehlt
Im Fall von Android wurde die von ESET identifizierte HintertĂĽr wie folgt benannt: VogelrufDiese Schadsoftware ist besonders besorgniserregend aufgrund der Vielzahl an Berechtigungen, die sie anfordert, und der Menge an Informationen, auf die sie zugreifen kann, sobald das Opfer das infizierte Spiel installiert hat.
BirdCall ist dazu fähig Kontakte, SMS-Nachrichten und Anruflisten sammeln, Dokumente, die auf dem Gerät gespeichert sind, Multimediadateien wie Fotos und Videos sowie der Inhalt der Zwischenablage, wo häufig Passwörter, Bestätigungscodes oder Bankdaten kopiert werden.
Darüber hinaus kann Spyware Folgendes leisten Bildschirmfotos und TastatureingabeaufzeichnungDies ermöglicht es Angreifern, Konversationen, Anmeldeinformationen und andere sensible Daten, die der Benutzer in Messenger-Anwendungen, sozialen Netzwerken oder Finanzdiensten eingibt, zu rekonstruieren.
Einer der heikelsten Aspekte ist seine Fähigkeit zu Umgebungsgeräusche aufnehmen Mithilfe des Mikrofons des Telefons verwandelt diese Funktion das Mobiltelefon in ein verdecktes Abhörgerät, mit dem persönliche Gespräche oder Besprechungen aufgezeichnet werden können – ein besonders schwerwiegendes Problem, wenn das Opfer politische oder geschäftliche Verantwortung trägt oder vertrauliche Informationen verarbeitet.
Malware kann auch Private Schlüssel und Anmeldeinformationen extrahieren Die Angriffe beziehen sich auf installierte Dienste und Anwendungen sowie auf das Kopieren von persönlichen und geschäftlichen Dateien. All diese Daten werden den Angreifern über legitime Cloud-Dienste wie Dropbox und pCloud übermittelt – eine Taktik, die den schädlichen Datenverkehr als normale Nutzung weit verbreiteter Plattformen tarnt.
Wie infizierte Spiele verbreitet werden und warum sie nicht auf Google Play verfĂĽgbar sind
Die Untersuchung von ESET konnte feststellen, dass die Opfer Sie haben die mit Trojanern infizierten Spiele direkt von der Website der Plattform heruntergeladen. von Yanbian Red Ten, die den Browser auf ihren Geräten nutzten. Die angebotenen Titel wirkten seriös, bezogen sich auf traditionelle Spiele aus der Region und wurden normal präsentiert.
Die Apps funktionierten auch wie jedes andere Spiel: Sie ermöglichten es den Nutzern, sich mit Freunden zu messen, an Kartenspielen teilzunehmen und an Online-Turnieren mitzuwirken. Anschein von Normalität Dies ist entscheidend, um zu verhindern, dass der Benutzer Verdacht schöpft und das Programm länger installiert bleibt.
ESET betont, dass während der Analyse des Wahlkampfes Die schädlichen APKs wurden nicht im offiziellen Google Play Store gefunden.Alles deutet darauf hin, dass die Verbreitung ausschließlich über die kompromittierte Website erfolgte, was dem immer häufiger anzutreffenden Verhalten vieler Nutzer entspricht, die auf der Suche nach zusätzlichen Funktionen oder kostenlosen Versionen Spiele von externen Seiten herunterladen.
Den Forschern zufolge war es nicht möglich, mit absoluter Präzision festzustellen Wann wurde die Website erstmals kompromittiert? der Plattform. Basierend auf der Untersuchung von BirdCall-Versionen wird jedoch geschätzt, dass der Angriff Ende 2024 begann und mindestens bis Mitte 2025 andauerte.
Zum Zeitpunkt der Analyse waren mindestens zwei der auf der Plattform-Domain verfügbaren Android-Spiele mit einem Trojaner infiziert, der BirdCall enthielt. Auf der Downloadseite konnte ESET die Schaltflächen für … eindeutig identifizieren. Download infizierter Titel, die für den Durchschnittsnutzer von jeder anderen legitimen Anwendung nicht zu unterscheiden waren.
Eine sich ständig weiterentwickelnde Malware, die auf Diskretion ausgelegt ist.
Eine der auffälligsten Erkenntnisse des Berichts ist, dass BirdCall keine statische Schadsoftware ist, sondern eine Projekt in ständiger EntwicklungDie Forscher von ESET entdeckten mindestens sieben verschiedene Versionen der Spyware, von Version 1.0 aus dem Oktober 2024 bis hin zu Version 2.0, die im Juni 2025 erschien.
Jede neue Version erweiterte oder verfeinerte die Spionagefähigkeiten und verbesserte die Kommunikationsmechanismen mit Kommando- und Kontrollservern (C&C) und ausgefeilte Techniken, um der Erkennung durch Antiviren- und Analysetools zu entgehen. Die Nutzung von Cloud-Diensten wie Dropbox oder pCloud zum Transfer gestohlener Daten ist ein gutes Beispiel für diese Bemühungen, unentdeckt zu bleiben.
Diese Vorgehensweise spiegelt einen klaren Trend in der aktuellen Bedrohungslandschaft wider: Fortgeschrittene Gruppen begnĂĽgen sich nicht mehr mit einmaligen Kampagnen, sondern Sie pflegen und aktualisieren ihr Arsenal an Schadsoftware. genauso, wie ein Technologieunternehmen seine Produkte verbessert.
Für Europa und Spanien deutet diese Entwicklung darauf hin, dass Angriffe, die heute noch weit entfernt scheinen und sich auf bestimmte Regionen Asiens konzentrieren, sich schnell zu ... entwickeln können. globale und wiederverwendbare BedrohungenDas gleiche Malware-Modell, das in Spielen versteckt ist, könnte leicht an beliebte Titel in unserer Umgebung angepasst werden.
Da diese Operation mit Cyberspionage und weniger mit groß angelegten Wirtschaftskriminalitätskampagnen in Verbindung steht, mag der anfängliche Einfluss begrenzt erscheinen. Die Erfahrung zeigt jedoch, dass viele von staatlichen Gruppen entwickelte Techniken Später werden sie von gewöhnlichen Cyberkriminellen übernommen, wodurch sich ihre Reichweite auf Nutzer und Unternehmen weltweit ausdehnt.
Warum der Reiz von Videospielen so gut funktioniert
Cybersicherheitsexperten sind sich einig, dass Videospiele sind zu einem vorrangigen Ziel geworden Für Angreifer liegt dies sowohl an der großen Anzahl der Spieler als auch an deren Downloadverhalten außerhalb offizieller Kanäle.
Es ist üblich, dass Nutzer im Internet nach kostenlosen Versionen von kostenpflichtigen Spielen, inoffiziellen Mods, Vorabzugang oder kostenlosen Premium-Inhalten suchen. Diese Suchen führen sie zu Seiten zweifelhafter HerkunftForen, Links, die in sozialen Netzwerken oder Messenger-Kanälen geteilt werden, wo Sicherheitsüberprüfungen praktisch nicht existieren.
In diesem Kontext wirkt eine Plattform, die regionale oder Nischenspiele anbietet, weniger verdächtig: Viele Nutzer interpretieren es als normal, dass ein wenig bekanntes Spiel oder eines, das sich an eine bestimmte Community richtet, nicht in offiziellen Stores zu finden ist. Diese Wahrnehmung erleichtert es... APKs werden von Drittanbieter-Websites heruntergeladen und installiert. ohne zweimal nachzudenken.
Ein weiterer wichtiger Faktor ist, dass Videospiele nicht nur im häuslichen Umfeld genutzt werden. Heutzutage private und dienstliche Mobiltelefone Häufig werden sie vermischt, und es ist nicht ungewöhnlich, dass Mitarbeiter dieselben Gelegenheitsspiele auf ihrem Diensthandy installiert haben wie auf ihrem privaten Gerät. Gelangt Schadsoftware wie BirdCall auf ein Mobiltelefon, das auch für Firmen-E-Mails oder den Fernzugriff auf interne Systeme genutzt wird, ist der Zugriff auf Unternehmensinformationen ungehindert möglich.
Für Cyberspione und Kriminelle verwandelt diese Schnittstelle zwischen Freizeit und Arbeit Spiele in ein Ideale Plattform zum Eindringen in professionelle Umgebungen ohne Verdacht zu erregen, weder in Spanien noch in den übrigen europäischen Ländern, wo Arbeitsplatzmobilität und Telearbeit üblich sind.
Warnzeichen zur Erkennung verdächtiger Spiele und Apps
Obwohl sich die von ESET aufgedeckte Kampagne auf eine bestimmte Region konzentriert hat, gelten die Empfehlungen der Experten für alle europäischen Nutzer, die Spiele auf Windows oder Android herunterladen. Es gibt eine Reihe von Warnsignale Dies sollte man vor der Installation unbekannter Anwendungen berücksichtigen.
Eine der deutlichsten ist die übermäßige oder widersprüchliche BerechtigungsanfragenWenn ein einfaches Kartenspiel ohne ersichtlichen Grund Zugriff auf das Mikrofon, SMS-Nachrichten, Anruflisten oder den gesamten Gerätespeicher anfordert, ist Misstrauen angebracht. Dasselbe gilt, wenn es die Aktivierung von Barrierefreiheitsfunktionen ohne überzeugende Erklärung verlangt.
Sie sollten auch bei Apps vorsichtig sein, die von folgenden Quellen heruntergeladen wurden: externe Websites, Links in sozialen Medien oder MessengergruppenStatt ĂĽber offizielle Stores wie Google Play oder, im Falle von Windows, anerkannte Plattformen zu beziehen. Obwohl diese Stores nicht unfehlbar sind, bieten sie mehr Kontrollen als eine beliebige Website.
Ein weiteres Indiz ist der Mangel an verlässlichen Informationen über den Antrag: Wenige Kommentare, unbekannter Entwickler oder nicht vorhandene Supportseiten. Verspricht das Spiel darüber hinaus freigeschaltete Premium-Inhalte oder Funktionen, die normalerweise kostenpflichtig sind, steigt das Risiko, dass es als Köder zur Verbreitung von Schadsoftware dient, erheblich.
In der Desktop-Umgebung gelten ähnliche Empfehlungen: Vermeiden Sie die Installation von ausführbaren Dateien aus zweifelhaften Quellen, überprüfen Sie nach Möglichkeit die Softwaresignatur und halten Sie das Betriebssystem und die Sicherheitslösungen auf dem neuesten Stand, um die Erkennung von Bedrohungen zu verbessern.
Was zu tun ist, wenn Sie vermuten, dass Ihr Gerät infiziert ist
Cybersicherheitsexperten empfehlen, folgendem besonderes Augenmerk zu widmen: anomale Veränderungen im GeräteverhaltenAuch wenn nicht alle Symptome eindeutig sind, können sie doch ein Hinweis darauf sein, dass etwas nicht stimmt.
Zu den häufigsten Indikatoren gehören die Überhitzung ohne ersichtlichen Grunddeutlich höherer als normaler Batterieverbrauch, plötzliche Verlangsamungen oder häufige Abstürze bei der Ausführung einfacher Aufgaben.
Ein weiteres besorgniserregendes Symptom ist die unerwartete Aktivierung des Mikrofons oder der Kameraoder das Erscheinen von Aufnahmesymbolen, obwohl keine App verwendet wird, die diese Aktivität rechtfertigen würde. In einigen Fällen stellen Nutzer auch einen erhöhten Datenverbrauch im Hintergrund fest, was darauf hindeuten kann, dass die Schadsoftware Informationen extern sendet.
Wenn Sie vermuten, dass ein Spiel oder eine Anwendung kompromittiert sein könnte, ist die klügste Vorgehensweise folgende: Deinstallieren Sie es sofort und führen Sie eine vollständige Analyse mit einem durch anerkannte AntivirenlösungDies gilt sowohl für Android als auch für Windows. Bei Geräten, die besonders sensible Daten verarbeiten, kann es sogar ratsam sein, das System von einer zuverlässigen, zuvor erstellten Sicherung wiederherzustellen.
In Unternehmensumgebungen in Spanien und anderen europäischen Ländern sollten Unternehmen Folgendes beachten: Protokolle zur Reaktion auf Zwischenfälle Dazu gehören die Überprüfung mobiler Geräte, der Entzug des Zugriffs und die regelmäßige Änderung der Zugangsdaten, falls auf einem für Arbeitszwecke genutzten Endgerät eine Hintertür wie BirdCall entdeckt wird.
Angesichts all dessen, was aufgedeckt wurde, zeigt dieser Fall das Ausmaß, in dem ein scheinbar harmloses Spiel für Windows oder Android Dies könnte zum Einfallstor für ausgeklügelte Cyber-Spionageoperationen werden. Die Kombination aus Schadsoftware, die Audio aufzeichnet, persönliche Daten stiehlt und Cloud-Dienste zur Verschleierung ihrer Aktivitäten nutzt, erfordert äußerste Vorsicht, insbesondere beim Herunterladen von Anwendungen aus nicht-offiziellen Quellen und der Nutzung derselben Geräte sowohl privat als auch beruflich – in einem Kontext, in dem Spanien und das übrige Europa bereits häufig Ziel solcher Kampagnen sind.
