Spyware-Masche gegen Indeed-Nutzer – infizierte Vorstellungsgespräch-Apps

Eine perfide Masche gegen Jobsuchende

IT-Sicherheitsforscher haben eine neue, global agierende Malware-Kampagne identifiziert, die es gezielt auf Nutzer der bekannten Jobplattform Indeed abgesehen hat. Die Drahtzieher hinter dieser Aktion nutzen das Vertrauen von Arbeitssuchenden aus, um diese zur Installation von schädlicher Software zu bewegen. Dabei geben sich die Angreifer als potenzielle Arbeitgeber aus und kontaktieren die Opfer direkt im Kontext ihrer Jobsuche. Das Ziel der Kriminellen ist es, die Nutzer dazu zu bringen, vermeintliche Apps für ein Vorstellungsgespräch herunterzuladen. Diese Anwendungen sind jedoch keineswegs harmlos, sondern dienen als Einfallstor für Spyware, die das betroffene Android-Smartphone vollständig unter die Kontrolle der Angreifer bringt. Die Kampagne ist besonders tückisch, da sie den Prozess der Bewerbung, der für viele Menschen mit Hoffnung auf eine neue berufliche Perspektive verbunden ist, als Köder verwendet. Die Betroffenen werden in einer ohnehin oft stressigen Phase der Jobsuche mit täuschend echt wirkenden Aufforderungen konfrontiert, die sie dazu verleiten sollen, Sicherheitsvorkehrungen ihres Mobilgeräts zu umgehen und eine externe Datei zu installieren.

Die technischen Details der Infektion

Die Virenanalysten von Malwarebytes, die diese Angriffe untersucht haben, konnten den Ablauf der Infektion präzise nachvollziehen. Die Opfer erhalten Nachrichten, die optisch an das Design von Indeed angelehnt sind. Darin werden sie aufgefordert, eine App für ein Vorstellungsgespräch zu installieren. Ein zentrales Element ist dabei die Datei „MyInterview“, eine APK-Datei, die nicht über den offiziellen Google Play Store, sondern über einen direkten Dateilink verbreitet wird. Nach der manuellen Installation dieser App auf dem Android-Gerät beginnt der Schadcode mit seiner Arbeit. Die App imitiert zunächst eine Login-Seite von Indeed, um Vertrauen zu erwecken. Sobald der Nutzer seine E-Mail-Adresse eingegeben hat, baut die App eine VPN-Verbindung auf. Im Hintergrund fungiert die Anwendung als sogenannter Trojan Dropper. Dies bedeutet, dass sie in der Lage ist, weitere, nicht vertrauenswürdige Programme auf das Gerät nachzuladen. Sobald die Spyware die erforderlichen Berechtigungen für die Barrierefreiheit erhält, übernimmt sie die volle Kontrolle über das Smartphone. Sie beginnt, andere Anwendungen eigenständig zu schließen und verhindert aktiv, dass der Nutzer die bösartige App wieder deinstallieren kann. Die Übernahme der Barrierefreiheitsdienste ist hierbei der kritische Punkt, an dem das Gerät für den Besitzer faktisch unbrauchbar oder zumindest vollständig kompromittiert wird.

Der Kontext der betrügerischen Jobangebote

Die Kriminellen setzen bei ihrer Kampagne auf eine Vielzahl von englischsprachigen Vorwänden, um die Opfer zur Installation zu bewegen. Zu den verwendeten Phrasen gehören Aufforderungen wie „Vervollständige dein Vorstellungsgespräch durch Installation der Indeed-App“, „Aktualisiere deine Indeed-Applikation“, „Identitätsbestätigung erforderlich“, „Lade unser Recruitment-Portal herunter“ oder „Gehaltsvereinbarung nach der App-Installation verfügbar“. Diese Nachrichten werden den Opfern zugestellt, nachdem diese eine Bestätigung über den Eingang ihrer Bewerbung erhalten haben, was die Glaubwürdigkeit der Nachricht aus Sicht der Betroffenen massiv erhöht. Die Berichte über diese Vorfälle kommen aus verschiedensten Teilen der Welt, darunter Brasilien und Großbritannien. Auch auf Plattformen wie Reddit tauschen sich Betroffene über ihre Erfahrungen aus und schildern, wie ihre Geräte nach dem Download der manipulierten Dateien reagierten. Es handelt sich hierbei nicht um Einzelfälle, sondern um eine systematische, weltweit koordinierte Vorgehensweise, bei der die Plattform Indeed als bloße Kulisse dient, um das Vertrauen der Nutzer in den Bewerbungsprozess zu missbrauchen. Die Angreifer nutzen das Bedürfnis nach einer schnellen Rückmeldung auf eine Bewerbung gezielt aus, um die Nutzer zu unüberlegten Handlungen zu drängen.

Die Akteure und ihre Rollen im Geschehen

Auf der einen Seite stehen die unbekannten Drahtzieher, die als Cyberkriminelle agieren und gefälschte Jobangebote auf Indeed platzieren. Sie sind es, die die Malware-Apps entwickeln, die Infrastruktur für die Verbreitung der APK-Dateien bereitstellen und die Opfer aktiv kontaktieren. Auf der anderen Seite stehen die IT-Sicherheitsforscher von Malwarebytes, die den Fall analysiert und die Öffentlichkeit sowie die Nutzer gewarnt haben. Ebenfalls involviert ist das Unternehmen Indeed selbst. Die Plattform hat auf die Berichte reagiert und klargestellt, dass ihr offizieller Prozess für Vorstellungsgespräche keinerlei externe App-Installationen erfordert. Indeed betont, dass alle Gespräche ausschließlich über die eigene Internet-Plattform im Webbrowser geführt werden. Das Unternehmen distanziert sich ausdrücklich von den schädlichen Aktivitäten und stellt klar, dass jede Nachricht, die zur Installation einer App für ein Vorstellungsgespräch auffordert, als betrügerisch einzustufen ist. Die Nutzer, die diese Nachrichten erhalten, sind die Leidtragenden, deren Privatsphäre und Datensicherheit durch die Spyware massiv gefährdet werden, sobald sie den Anweisungen der Betrüger folgen.

Einordnung der Bedrohungslage

Einzuordnen ist das so: Die Kampagne ist ein weiteres Beispiel für die ständige Evolution von Malware-Angriffen, die sich zunehmend auf soziale Manipulation, das sogenannte Social Engineering, verlassen. Anstatt technische Schwachstellen im Betriebssystem direkt auszunutzen, zielen die Angreifer auf das schwächste Glied in der Kette ab – den Nutzer. Den Berichten zufolge ist die Gefahr besonders hoch, da die Malware die Barrierefreiheitsdienste unterwandert, was es den Opfern fast unmöglich macht, die Kontrolle über ihr Gerät ohne tiefgreifende technische Kenntnisse oder ein Zurücksetzen auf Werkseinstellungen zurückzugewinnen. Die Tatsache, dass die Angreifer das Design von Indeed kopieren, zeigt eine hohe Professionalität. Es ist zudem ein allgemeiner Trend erkennbar, dass Malware-Apps selbst in offiziellen App-Stores vorkommen können, wie der Vergleich mit dem Anatsa-Trojaner zeigt, der vor einem Jahr etwa 19 Millionen Installationen erreichte. Die aktuelle Masche gegen Indeed-Nutzer unterstreicht, dass kein Bereich des digitalen Lebens vor solchen Angriffen sicher ist. Die ständige Wachsamkeit der Nutzer ist daher die wichtigste Verteidigungslinie, da technische Schutzmechanismen oft durch die explizite Erteilung von Berechtigungen durch den Nutzer selbst ausgehebelt werden.

Offene Fragen und verbleibende Lücken

Der vorliegende Quelltext lässt einige Fragen offen, die für ein vollständiges Bild der Lage wichtig wären. So bleibt unklar, wie genau die Angreifer an die E-Mail-Adressen der Indeed-Nutzer gelangen, um sie gezielt zu kontaktieren. Es wird nicht explizit benannt, ob die Kriminellen die Indeed-Plattform selbst hacken, um an Nutzerdaten zu kommen, oder ob sie die Daten aus anderen Quellen beziehen. Auch die genaue Anzahl der bereits infizierten Geräte weltweit wird nicht beziffert, ebenso wenig wie die Identität oder der geografische Ursprung der Hintermänner. Zudem bleibt offen, welche spezifischen Finanzdaten oder persönlichen Informationen die Spyware nach der Installation genau abgreift, abgesehen von der allgemeinen Feststellung, dass sie das Gerät vollständig kompromittiert. Es wird auch nicht erwähnt, ob bereits rechtliche Schritte gegen die unbekannten Akteure eingeleitet wurden oder ob Indeed spezielle technische Maßnahmen ergriffen hat, um das Versenden solcher Nachrichten über ihre internen Kommunikationssysteme künftig zu unterbinden. Diese Lücken machen deutlich, dass die Untersuchung der Kampagne vermutlich noch in einem frühen Stadium ist und viele Details zur operativen Struktur der Bande noch im Dunkeln liegen.