Bankkunden sollten äußerst vorsichtig bei App-Downloads und Links sein, insbesondere bei solchen, die legitime Dienste imitieren.
▸▾Herleitung der Bewertung(8)
Wie der Wert zustande kommt
- Im CISA-KEV-Katalog: CVE-2023-38831, CVE-2024-21412+25
- EPSS 99.8 % Ausnutzungswahrscheinlichkeit binnen 30 Tagen+15
- Hoechster CVSS-Basiswert 8.1+15
- Hinweis auf verfuegbaren Angriffscode: proof-of-concept+10
- Ohne Anmeldung ueber das Netz ausnutzbar (CVE-2024-21412, CVSS-Vektor AV:N/PR:N)+10
- Lieferketten-Kompromittierung — Thema: poisoned, supply chain, typosquat | Ereignisbeleg: victim, victims+10
- Belegte ATT&CK-Technik zum Erstzugriff+6
- Betrifft KRITIS-nahe Branche: finanzen+5
Woraus sich die Konfidenz ergibt
- Nur ein Herausgeber — keine Gegenlesung
- Strukturierte CVE-Daten aus der NVD vorhanden
Die Konfidenz misst die Belegqualität, nicht die Schwere.
Bewertung v1.2, deterministisch berechnet. Bedrohungswert und Konfidenz sind getrennte Größen.Methodik
ThreatsDay: AI Search Poisoning, AI Coding Tool Leaking Repos, One-Click Code Execution and 13 More Stories
Ein neuer Android-Banking-Trojaner namens RemControl zielt auf Bankkunden in Westeuropa, dem Nahen Osten und Kanada ab, indem er über gefälschte Google Play Store-Seiten verbreitet wird. Er stiehlt Zugangsdaten und ermöglicht Fernzugriff. Zudem wurde bekannt, dass das chinesische KI-Unternehmen Z.ai ohne Zustimmung der Nutzer lokale Code-Repositories an Alibaba Cloud-Server sendete. Kritische Infrastrukturen sollten zudem ihre Risiken bei der Zusammenarbeit mit Drittanbietern von ICS-Integratoren minimieren.
SecBoard-Einordnung
Der RemControl-Trojaner kann sensible Bankdaten stehlen und Fernzugriff auf Geräte erlangen, was zu finanziellen Verlusten für Einzelpersonen und Reputationsschäden für Banken führen kann. Die unautorisierte Datenübertragung durch Z.ai stellt ein erhebliches Risiko für den Diebstahl geistigen Eigentums und Compliance-Verletzungen dar.
Realistisch schlimmster Fall: Finanzieller Verlust durch gestohlene Bankzugangsdaten und unautorisierte Transaktionen. Verlust von geistigem Eigentum und vertraulichen Code-Repositories durch unautorisierte Datenexfiltration.
Empfehlung: Bankkunden sollten äußerst vorsichtig bei App-Downloads und Links sein, insbesondere bei solchen, die legitime Dienste imitieren. Unternehmen sollten ihre Richtlinien für die Nutzung von KI-Tools überprüfen und sicherstellen, dass keine sensiblen Daten ohne Zustimmung übertragen werden. Kritische Infrastrukturen sollten Risiken bei Drittanbietern minimieren.
Im erfassten Bestand
- ▸CVE-2023-38831 stand zum Zeitpunkt dieser Meldung seit 1127 Tagen im KEV-Katalog der CISA.
Gezählt im eigenen Bestand, rückwärts ab dem Erscheinungsdatum. Das ist Belegstärke, keine Aussage über die Häufigkeit in der Welt.
Key Facts
- CVSS
- 8.1 · HIGH
- EPSS
- 99.4%
- Über das Netz
- ja
- Anmeldung nötig
- nein
- Nutzerinteraktion nötig
- ja
- Angriffskomplexität
- niedrig
- Beeinträchtigt
- Vertraulichkeit, Integrität
- im KEV seit
- 2024-02-13
- Patch
- unbekannt
- Zuweisende CNA
- secure@microsoft.com
- CVSS
- 7.8 · HIGH
- EPSS
- 99.8%
- Über das Netz
- nein
- Anmeldung nötig
- nein
- Nutzerinteraktion nötig
- ja
- Angriffskomplexität
- niedrig
- Beeinträchtigt
- Vertraulichkeit, Integrität, Verfügbarkeit
- im KEV seit
- 2023-08-24
- Patch
- unbekannt
Betroffen
Bankkunden in Westeuropa, dem Nahen Osten und Kanada, die Android-Geräte nutzen. Organisationen, die mit dem chinesischen KI-Unternehmen Z.ai zusammenarbeiten oder dessen Tools nutzen.
Hersteller
Produkte
▸ CPE-Rohbezeichner anzeigen▾ CPE-Rohbezeichner ausblenden (9)
- cpe:2.3:o:microsoft:windows_10_1809:*:*:*:*:*:*:*:*
- cpe:2.3:o:microsoft:windows_10_21h2:*:*:*:*:*:*:*:*
- cpe:2.3:o:microsoft:windows_10_22h2:*:*:*:*:*:*:*:*
- cpe:2.3:o:microsoft:windows_11_21h2:*:*:*:*:*:*:*:*
- cpe:2.3:o:microsoft:windows_11_22h2:*:*:*:*:*:*:*:*
- cpe:2.3:o:microsoft:windows_11_23h2:*:*:*:*:*:*:*:*
- cpe:2.3:o:microsoft:windows_server_2019:*:*:*:*:*:*:*:*
- cpe:2.3:o:microsoft:windows_server_2022:*:*:*:*:*:*:*:*
- cpe:2.3:o:microsoft:windows_server_2022_23h2:*:*:*:*:*:*:*:*
Prüfen
3- ▸Überprüfen Sie die Mobile Device Management (MDM)-Lösungen auf Erkennung und Blockierung bekannter Banking-Trojaner wie RemControl.
- ▸Führen Sie regelmäßige Schulungen für Mitarbeiter und Kunden durch, um sie über Phishing-Versuche und verdächtige App-Downloads aufzuklären.
▸ 1 weitere▾ weniger
- ▸Überprüfen Sie Netzwerk-Traffic auf ungewöhnliche Verbindungen zu bekannten Command-and-Control-Servern oder Cloud-Diensten, die nicht autorisiert sind.
Offene Punkte
3▸ anzeigen▾ ausblenden
- ▸Es ist nicht spezifiziert, welche spezifischen Banken oder Finanzinstitute betroffen sind.
- ▸Die genaue Methode, wie Z.ai die Code-Repositories sammelte und übertrug, ist nicht detailliert.
- ▸Es ist nicht spezifiziert, welche spezifischen kritischen Infrastrukturen betroffen sind.
Red-Team-Relevanz
Was heißt das für dein nächstes Assessment?
▸ Einordnung anzeigen▾ Einordnung ausblenden
- Initial Access möglich?Ja
- Privilege Escalation relevant?Möglich
- Exploit öffentlich verfügbar?Ja
- Detection / Logging prüfbar?Ja
- Für Purple-Team-Szenario geeignet?Ja
Kundenfragen
- Haben wir Windows extern erreichbar?
- Haben wir WordPress extern erreichbar?
- Können wir Initial Access detektieren?
- Können wir Persistence detektieren?
MITRE ATT&CK(9)
Techniken aus allen Quellen zusammengeführt — nach Stärke des Belegs sortiert.
„verbreitet über gefälschte Google Play Store-Seiten und Meta ads“
„impersonating legitimate services“
„sendete lokale Code-Repositories an Alibaba Cloud-Server“
„stream screens, log keystrokes“
„ermöglicht Fernzugriff“
„stiehlt Zugangsdaten“
Mehrere Herkünfte bei derselben Technik heißt: mehrere unabhängige Wege führen dorthin.
Kill-Chain-Phasen
Wie weit im Ablauf die belegten Techniken liegen — je Technik die früheste Phase.
Auskundschaften
0
Bewaffnung
0
Zustellung
1
Ausnutzung
0
Einnistung
1
Fernsteuerung
0
Zielhandlung
0
2 Techniken ohne Phasenzuordnung (z. B. Verteidigungsumgehung, die quer zu allen Phasen läuft)
Quellen & Belege· 1 Quelle
Redaktionelle Berichterstattung, meist Zweitverwertung einer Primaerquelle.
- Nur eine Quelle — der Sachverhalt ist an keiner zweiten Stelle gegengelesen.
Verknüpfte Intelligence
Dieselben Entitäten an anderer Stelle auf SecBoard.