Seit einiger Zeit werden auch Mobilgeräte ohne das Wissen des Besitzers für das Schürfen virtueller Währungen - sogenanntes Cryptomining - eingesetzt.
In der Online-Kriminalität ist es eine altbekannte Vorgehensweise ein fremdes Gerät, wie einen Computer, für den eigenen Profit einzusetzen . Das reicht vom Umleiten auf Webseiten, um die Zugriffszahlen zu „optimieren“, bis hin zur Infektion von Geräten mit Ransomware.
Mobiles Cryptomining ist keine Erfindung, die erst mit dem Bitcoin-Boom Ende 2017 ihren Anfang nahm. Bereits vor vier Jahren haben wir in einem Blogartikel an dieser Stelle über das Thema berichtet. Gerade aufgrund der Tatsache, dass Kryptogeld in der jüngeren Vergangenheit massiv an Bedeutung und Wert dazu gewonnen hat, ist das Mining in großem Stil zu einem einträglichen Geschäft geworden. So genannte „Mining Rigs“ sind allerdings stromhungrig, sehr kostspielig und somit für die meisten Menschen uninteressant. Getreu dem Motto „Kleinvieh macht auch Mist“, versuchen mittlerweile immer mehr Kriminelle ebenfalls vom Boom der virtuellen Währungen zu profitieren. Hierzu werden in einer Art Botnetz Geräte zusammengeschlossen und zum Schürfen der Währung missbraucht.
Angriffsmodelle auf dem Mobilgerät
Um schnell an viele Coins zu kommen, gibt es mehrere Möglichkeiten. Eine der aus Sicht von Kriminellen einfachsten Möglichkeiten ist, mit einer gefälschten Wallet-App die Bitcoin-Wallets von Anwendern (in Form des privaten Schlüssels und Passwort bwz. Passphrase) zu stehlen. In anderen Fällen wird der Anwender gebeten, eine neue Wallet anzulegen und seine virtuellen Münzen dorthin zu transferieren, wobei die Coins auf das Konto des Angreifers gesendet werden. In beiden Fällen steht der betroffene Anwender am Ende ohne sein Kryptogeld da. Rein technisch haben wir es hier einerseits mit klassischem Phishing (nur eben per App und nicht per Mail/Webseite) zu tun, andererseits mit einer Transaktionsumleitung wie aus Banking-Malware bekannt.
Kriminelle können jedoch durch entsprechend manipulierte Apps auch fremde Geräte fürs Mining nutzen. Es existieren zwar auch legitime Apps, die Cryptomining betreiben, allerdings werden Anwender hier – anders als bei Schadsoftware – darüber informiert . Zwar hat ein Smartphone nur eine sehr geringe Rechenkapazität verglichen mit einem speziell darauf ausgelegten Mining-Computer – jedoch soll hier über die Masse der finanzielle Erfolg sichergestellt werden. Mit der Kombination der Rechenleistung hunderter oder tausender Smartphones, stehen dem Angreifer Rechenkapazitäten zur Verfügung, die sich durchaus sehen lassen können , ohne die Kosten für Hardware oder Strom tragen zu müssen.
Coin-Mining als Alternative zu Werbung, Abo und Paywall
Gerade vor dem Hintergrund, dass Kryptowährungen medial oft im Zusammenhang mit Onlinekriminalität erwähnt werden, lässt einige Benutzer vermuten, dass Kryptowährungen und das Schürfen derselben illegal wären. Dem ist jedoch nicht so - es gibt sogar Fälle, in denen Cryptomining als Alternative zu einem "klassischen" Bezahlmodell angeboten wird. Viele Zeitungs- und Zeitschriftenverlage versuchen angesichts sinkender Auflage- und Absatzzahlen bei gedruckten Medien profitabel zu arbeiten. Einige Verlagshäuser bieten daher auch Online-Abos an – diese werden entweder pro Woche, pro Monat oder für eine Anzahl gelesener Artikel angeboten. In einigen Fällen werden auch „werbefrei“-Optionen angeboten, in denen der zahlende Besucher dann entweder keine oder nur wenig Werbung zu sehen bekommt. Für viele ist dies jedoch eher abschreckend, wenn sie gegen eine solche „Paywall“ (etwa „Bezahl-Wand“) laufen.
Aus diesem Grund bieten immer mehr Webseitenbetreiber ihren Besuchern die Alternative an, für Inhalte oder Werbefreiheit mit Rechenzeit zu bezahlen. Für die Dauer des Webseitenbesuchs wird der PC des Besuchers im Hintergrund dazu benutzt, eine virtuelle Währung wie Bitcoin oder Monero zu schürfen. Verlässt der Besucher die Seite, hört das Mining automatisch auf. Auf Mobilgeräten findet dieses Modell jedoch bisher keine Anwendung.
Wichtig ist: der Anwender hat hier die Wahl und wird darüber informiert, dass der Rechner im Hintergrund Kryptowährungen schürft.
Was sind die Auswirkungen?
Das alles klingt zunächst einmal wenig dramatisch. Schließlich sind bei vielen Menschen die Smartphones nicht rund um die Uhr in Benutzung und liegen oftmals stundenlang ungenutzt in einer Tasche oder auf einem Tisch. Die Auswirkungen bestehen jedoch nicht nur in einem sich schneller leerenden Akku. Das wäre allenfalls ein kleineres Ärgernis, aber nicht wirklich tragisch. Dass Cryptomining auf Mobilgeräten – gerade, wenn es durch Malware betrieben wird – jedoch auch zu Schäden am Gerät führen kann, ist Vielen nicht bewusst. Im günstigsten Fall ist der Akku einfach nur schneller leer. Im schlimmsten Fall jedoch wird der Akkus so stark beansprucht, dass er sich aufbläht und das Gerät damit beschädigt oder zerstört. Zudem entwickelt ein Smartphone unter Voll-Last eine nicht unbeachtliche Menge Wärme, was die Lebensdauer des Gerätes ebenfalls negativ beeinflusst. Es ist bei all dem generell strittig, ob die so ergaunerte Rechenkapazität überhaupt signifikant genug ist, um wirklich gewinnbringend eingesetzt werden zu können. Die Rechenkapazitäten, die zum Beispiel für das Mining von Ethereum oder Bitcoins erforderlich sind, übersteigen jedenfalls die Möglichkeiten vieler, wenn nicht gar aller Smartphones. Ältere Geräte oder solche aus niedrigeren Preiskategorien dürften sich für das Minen der meisten Währungen nicht eignen. Einige User rechnen vor, dass der „Gewinn“ pro Jahr nach Abzug von Energiekosten sich im einstelligen Bereich bewegt, wenn man ein Gerät aus der untersten Preiskategorie als Maßstab anlegt. Hier käme es also für die Macher von mobilen Mining-Anwendungen stark auf die Währung an, die geschürft werden soll. Die beiden "Klassiker", Bitcoin und Ethereum fallen aus den genannten Gründen schon einmal aus. Damit bleiben ausschließlich solche Kryptowährungen, die (Stand: April 2018) aufgrund ihres Alters noch nicht weit verbreitet sind, wie etwa Charnacoin.
Wie können sich Smartphone-Besitzer schützen?
Anwender können bereits eine Menge Stolperfallen vermeiden, indem sie einige einfache Tipps beachten:
Apps nur aus offiziellen Quellen zu beziehen erhöht die Sicherheit bereits deutlich, da beispielsweise Google hochgeladene Apps auf Schadcode prüft. Verdächtige oder schädliche Anwendungen werden in den meisten Fällen sehr schnell aus dem Play Store entfernt. Auf Plattformen allerdings, die nicht unter der Kontrolle von Google oder den Smartphone-Herstellern stehen und bei denen keine Filterung stattfindet, ist das Risiko, an eine bösartige App zu geraten, wesentlich höher. In einigen asiatischen Plattformen ist teilweise jede vierte Applikation als schädlich oder zumindest fragwürdig einzustufen.
Die Bewertungen in einem App-Store sollten ebenfalls unter die Lupe genommen werden. Auch Kriminelle sind sich der Tatsache bewusst, dass positive Bewertungen wichtig sind für die Entscheidung eines Anwenders, eine App zu installieren. Daher sind bei vielen der bösartigen Anwendungen bereits Bewertungen vorhanden, die allerdings oft sehr wenig aussagekräftig sind („Beste App der Welt!“).
Oftmals wird auch die gleiche App über mehrere Entwickler in den App-Store gebracht. Das Logo einer Applikation alleine ist beispielsweise somit als Indikator für die Echtheit oder Zuverlässigkeit absolut ungeeignet.
Neben diesen einfachen Schritten, sollten Benutzer auf ihre Android-Smartphones zusätzlich eine Sicherheitslösung installieren, wie die G DATA Mobile Internet Security. Diese ist erst kürzlich wieder zum Sieger bei AV-Test gekürt worden.
Tim Berghoff
Security Evangelist