Cyberkriminelle setzen auf neue Taktiken: Moderne Android-Schadsoftware kombiniert Erpressung, NFC-Betrug und automatisierte Überweisungen. Banking-Apps geraten weltweit unter Druck.

Diese Woche haben Sicherheitsforscher mehrere neue Malware-Familien identifiziert, die gezielt Finanz-Apps angreifen. Die Bedrohung eskaliert dramatisch – Kriminelle nutzen dabei sogar Barrierefreiheits-Features aus, die eigentlich Menschen mit Behinderungen helfen sollen.

Die neuesten Entwicklungen zeigen eine strategische Wende der Angreifer hin zu aggressiveren, vielschichtigen Attacken. Diese Kampagnen umgehen traditionelle Sicherheitsmaßnahmen, stehlen Zugangsdaten und führen betrügerische Transaktionen direkt vom Gerät des Opfers aus. Finanzinstitute und Sicherheitsexperten warnen eindringlich vor extremer Vorsicht im Umgang mit mobilen Geräten.

Anzeige: Apropos Android-Banking-Malware: Viele Angriffe nutzen Barrierefreiheits-Dienste, Overlays und gekaperte Updates – ein perfekter Moment für einen Sicherheits-Check. Ein kostenloser Ratgeber zeigt die 5 wichtigsten Schutzmaßnahmen für Ihr Android-Smartphone, leicht verständlich und ohne teure Zusatz-Apps. Ideal, wenn Sie WhatsApp, Online-Banking oder PayPal nutzen. Jetzt das kostenlose Android-Sicherheitspaket anfordern

Trojaner mit Erpresser-Methoden

Ein neuer HOOK Android-Trojaner, eine Weiterentwicklung der ERMAC-Malware, setzt jetzt auf Erpresser-Taktiken. Laut Zimperium zLabs kann diese Version vollständige Bildschirmfenster mit Lösegeldforderungen anzeigen, die dynamisch von Kontrollservern abgerufen werden.

Die Schadsoftware behält ihre Fähigkeit bei, gefälschte Login-Bildschirme über echte Banking-Apps zu legen. Über Androids Barrierefreiheits-Dienste übernimmt sie die Fernsteuerung des Geräts. Die neueste Version verfügt über 107 Fernbefehle – einschließlich transparenter Overlays, die Nutzergesten erfassen und täuschende Eingabeaufforderungen für Sperrbildschirm-PINs anzeigen.

Parallel dazu berichtete ThreatFabric über RatOn, einen raffinierten Android-Banking-Trojaner, der seit Juli 2025 aktiv ist. Diese Malware kombiniert Near Field Communication (NFC) Relay-Fähigkeiten mit Fernzugriff und automatisierten Überweisungsfunktionen. RatOn konzentriert sich hauptsächlich auf Tschechien und die Slowakei mit maßgeschneiderten Angriffen auf lokale Banking-Apps.

Die Schadsoftware täuscht Nutzer dazu, Installationen aus unbekannten Quellen zu erlauben. Anschließend missbraucht sie Barrierefreiheits- und Geräteadministrator-Berechtigungen. Das automatisierte Überweisungssystem navigiert durch Banking-App-Oberflächen und gibt Details sowie PINs ein, die durch Überwachungsfunktionen gesammelt wurden.

Trickreiche Verteilung über App-Stores

Kriminelle nutzen zunehmend täuschende Methoden zur Verbreitung ihrer Schadsoftware – oft umgehen sie dabei offizielle App-Store-Kontrollen. Der Anatsa-Banking-Trojaner tarnte sich kürzlich als "PDF-Update" in einer Dokumenten-Viewer-App im Google Play Store.

Die App wurde etwa 90.000 Mal heruntergeladen, bevor sie entfernt wurde. Zunächst funktionierte sie legitim, erst ein späteres Update lieferte die schädliche Nutzlast nach. Diese mehrstufige Strategie ermöglicht es der Malware, eine große Nutzerbasis aufzubauen, bevor betrügerische Features aktiviert werden.

Ähnlich hat der "DoubleTrouble" Android-Trojaner seine Verteilungsmethoden weiterentwickelt, indem er schädliche APK-Dateien auf Discord hostet. Diese Taktik hilft der Malware, einige Sicherheitsfilter zu umgehen. Nach der Installation nutzt "DoubleTrouble" Barrierefreiheits-Dienste für Echtzeit-Bildschirmaufzeichnung und Keylogging, um Zugangsdaten von dutzenden Banking-Apps, Krypto-Wallets und Passwort-Managern zu erfassen.

Milliardenschwerer Werbebetrug entdeckt

Während Banking-Trojaner eine direkte finanzielle Bedrohung darstellen, steht das gesamte Android-Ökosystem unter Beschuss. Diese Woche wurde eine massive Werbebetrugsaktion namens "SlopAds" aufgedeckt: 224 schädliche Apps im Google Play Store generierten täglich 2,3 Milliarden betrügerische Werbeanfragen.

Diese Apps, über 38 Millionen Mal heruntergeladen, verwendeten Verschleierung und Steganografie, um ihr schädliches Verhalten vor Sicherheitstools zu verbergen.

Google reagierte mit dem September-2025-Sicherheitspatch auf 120 Schwachstellen, darunter zwei Zero-Day-Lücken, die bereits in begrenzten, gezielten Angriffen ausgenutzt wurden. Diese Schwachstellen (CVE-2025-38352 und CVE-2025-48543) könnten lokale Privilegienerweiterungen ermöglichen.

Strategiewandel der Cyberkriminellen

Der jüngste Anstieg von Android-Banking-Malware verdeutlicht einen strategischen Wandel der Cyberkriminellen. Angreifer begnügen sich nicht mehr mit einfachem Datendiebstahl – sie setzen auf Malware, die komplette Geräteübernahmen und automatisierten Betrug ermöglicht.

"Da Mobile Banking universell wird, haben Kriminelle ihren Fokus auf diesen Bereich verlagert – das führt zu einem exponentiellen Anstieg von Malware-Angriffen", erklärt Han Sahin, CEO von ThreatFabric.

Die Taktik mit Dropper-Apps – harmlos erscheinende Programme, die später schädliche Inhalte nachladen – zielt direkt darauf ab, App-Store-Sicherheitskontrollen zu umgehen. Malware-as-a-Service-Plattformen, die durchgesickerten Quellcode älterer Trojaner wie Cerberus nutzen, senken zusätzlich die Einstiegshürden für weniger versierte Kriminelle.

Verschärfte Sicherheitsmaßnahmen geplant

Die Bedrohung durch Android-Banking-Malware wird voraussichtlich weiter an Raffinesse und Umfang zunehmen. Experten erwarten, dass Angreifer ihre Techniken zur Erkennung weiter verfeinern und zunehmend KI zur Automatisierung von Social Engineering und Betrug einsetzen werden.

Google kündigte eine neue "Entwicklerverifizierung" an, deren Durchsetzung im September 2026 beginnt. Diese soll App-Installationen sicherer machen, indem Wiederholungstätern die Malware-Verbreitung erschwert wird.

Für Verbraucher bleibt die Empfehlung klar: Apps nur aus vertrauenswürdigen Quellen herunterladen, bei umfangreichen Berechtigungsanfragen – besonders für Barrierefreiheits-Dienste – vorsichtig sein und robuste mobile Sicherheitssoftware verwenden.

Anzeige: Dropper-Apps und gefälschte Login-Overlays sind tückisch – aber mit den richtigen Einstellungen deutlich weniger gefährlich. Der Gratis-Guide erklärt Schritt für Schritt, wie Sie Berechtigungen prüfen, verdächtige Apps erkennen und NFC-, Banking- und Update-Funktionen sicher konfigurieren – inklusive Checklisten. Hier das Sicherheits‑PDF gratis herunterladen