29. Oktober 2026, 15:47 Uhr | Lesezeit: 4 Minuten
Eine zunächst unauffällige Android-App aus dem offiziellen Google Play Store kann für Bankkunden zur Gefahr werden. Der als „PDF Reader“ angebotene Download lädt nach einiger Zeit den Banking-Trojaner Anatsa nach. Dieser kann Zugangsdaten und SMS abgreifen. Mehr als 10.000 Installationen wurden registriert, bevor Google die App entfernte.
PDF-Reader lädt Banking-Trojaner Anatsa nach
Sicherheitsforscher von Zscaler ThreatLabz entdeckten die App „PDF Reader“ des Entwicklers Duka Zuri im Google Play Store. Die Anwendung wurde mehr als 10.000-mal installiert. Wie viele der Geräte tatsächlich infiziert wurden, ist nicht bekannt.
Die App erfüllt zunächst ihre versprochene Funktion als PDF-Reader beziehungsweise Dateimanager und verhält sich unauffällig. Erkennt sie, dass sie in einer Testumgebung läuft, also in einer Umgebung, in der die Anwendung von Sicherheitsexperten geprüft wird, aktiviert sie ihre Schadfunktion zunächst nicht. Erst nach einiger Zeit lädt die App die eigentliche Schadsoftware Anatsa nach, wobei der Vorgang als reguläres Update getarnt wird. Diese Vorgehensweise macht die Malware so gefährlich.
Malware erlangt Zugriff auf sensible Daten
Anatsa fordert anschließend Zugriff auf die Android-Bedienungshilfen. Diese Funktionen sollen Menschen mit Seh-, Hör-, motorischen oder kognitiven Einschränkungen die Nutzung des Smartphones erleichtern. Über die erteilte Berechtigung kann sich der Trojaner weitere Zugriffsmöglichkeiten verschaffen.
Dadurch kann die Malware unter anderem SMS lesen und Fenster über anderen Apps einblenden. So lassen sich beispielsweise gefälschte Log-in-Masken über echte Banking-Apps legen. Neben Nutzernamen und Passwörtern kann die Schadsoftware auf diese Weise auch SMS-Bestätigungscodes abfangen.
Anatsa ist auch unter dem Namen TeaBot bekannt und wird seit mindestens 2020 mit wechselnden Tarn-Apps und Entwicklerkonten über den Play Store verbreitet. Eine frühere Angriffswelle zielte auf mehr als 650 Finanzinstitute. Inzwischen sind es mehr als 830, darunter Ziele in Deutschland und Südkorea sowie Krypto-Plattformen.
Achtung! Bereits 150.000 Android-Smartphones mit Banking-Trojaner infiziert
Achtung! Fast 150.000 Android-Smartphones mit Banking-Trojaner infiziert
Hirudo kann Banking-App durch manipulierte Version ersetzen
Parallel wurde mit Hirudo eine weitere Android-Malware bekannt. Sie tarnt sich als Shopping-, Unterhaltungs- oder Kurzvideo-App. Sicherheitsforscher von ThreatFabric haben bislang manipulierte Kopien von acht Bankanwendungen entdeckt.
Hirudo fordert den Nutzer zunächst auf, bestimmte Zugriffsrechte zu erteilen, darunter den Zugriff auf die Bedienungshilfen. Hat die Malware diese Berechtigungen erhalten, kann sie die echte Banking-App vom Smartphone entfernen, eine manipulierte Version herunterladen und installieren. Dabei kann Hirudo verschiedene Sicherheitsprüfungen umgehen.
Die manipulierte App sieht weitgehend wie das Original aus. Angreifer können darüber Bankpasswörter, Zahlungs- und Geräte-PINs, SMS sowie Bildschirminhalte erfassen. Auch Kamera und Mikrofon lassen sich missbrauchen. Gefälschte Zahlungsseiten zeigen nach der Eingabe der Daten einen erfolgreichen Abschluss an.
ThreatFabric beobachtete Hirudo zunächst bei Banking-Apps aus Indonesien. Hinweise gibt es außerdem auf Angriffe gegen Finanzorganisationen in China, Indien, Mexiko, Marokko und Thailand. Die Zahl der Betroffenen ist nicht bekannt, soll aber in den Tausenden liegen.
Auch interessant: So riskant ist Online-Banking auf dem Smartphone
So sollten Android-Nutzer bei Malware-Verdacht reagieren
Google hat die als schädlich erkannten Apps aus dem Play Store entfernt. Wer den betroffenen PDF-Reader bereits installiert hat, muss ihn selbst deinstallieren und sollte das Gerät anschließend mit einem aktuellen Antivirenprogramm überprüfen. Auch Google Play Protect bietet einen gewissen Schutz, kann Schadsoftware jedoch nicht immer erkennen.
Lässt sich eine verdächtige App nicht regulär entfernen, empfiehlt das BSI einen Neustart im abgesicherten Modus. Android lädt dort nur native Systemfunktionen, wodurch sich die betroffene Anwendung meist über die Einstellungen deinstallieren lässt. Bleibt auch das erfolglos, kann das Gerät auf die Werkseinstellungen zurückgesetzt werden.
Beim Zurücksetzen gehen persönliche Daten und Einstellungen verloren, weshalb regelmäßige Datensicherungen wichtig sind. Nach der Entfernung des Trojaners sollten Zugangsdaten geändert werden. Wer auf einem möglicherweise infizierten Gerät Banking-Apps verwendet hat, sollte zudem seine Bank kontaktieren.
Android-Nutzer sollten Apps nur aus offiziellen Quellen installieren, keine APK-Dateien aus unbekannten Stores öffnen, Geräte aktuell halten und Play Protect regelmäßig ausführen. Auf USB-Debugging über die Entwickleroptionen sollten nur technisch versierte Anwender zurückgreifen, da die Aktivierung das Sicherheitsrisiko zusätzlich erhöhen kann.