Eine neue Schadsoftware nutzt das Vertrauen in alltägliche Smartphone-Apps aus. Ihre Methoden reichen über gewöhnlichen Datendiebstahl hinaus und können sensible Finanzinformationen gefährden. Sicherheitsforscher untersuchen das Ausmaß der Angriffe.

Eine neue Android-Schadsoftware namens Hirudo kann installierte Banking-Apps durch manipulierte Fassungen ersetzen und dabei sensible Daten abgreifen. Die Sicherheitsforscher von ThreatFabric haben die Malware untersucht. Neben dem Diebstahl von Zugangsdaten ermöglicht sie Angreifern auch die Fernsteuerung infizierter Smartphones.

Bildquelle: Erstellt mithilfe von KI

Hirudo verbreitet sich über vermeintliche Shopping-, Unterhaltungs- und Kurzvideo-Apps. Nach der Installation soll eine zusätzliche Schadsoftware über einen vorgetäuschten Aktualisierungsvorgang auf das Gerät gelangen. Dafür benötigt sie weitreichende Berechtigungen, darunter den Zugriff auf die Android-Bedienungshilfen.

Bildquelle: Erstellt mithilfe von KI

Erkennt Hirudo eine geeignete Banking-App, kann die Malware deren Entfernung anstoßen und eine manipulierte APK-Datei nachladen. Bislang identifizierten die Forscher speziell angepasste Ersatzversionen für acht indonesische Banking-Anwendungen von sieben Banken. Die gefälschten Apps behalten wesentliche Bestandteile ihrer Originale bei, enthalten jedoch zusätzliche Schadfunktionen.

Integrierter Hooking-Mechanismus umgeht Schutzmechanismen

Besonders problematisch ist ein integrierter Hooking-Mechanismus. Er verändert, welche Ergebnisse Sicherheitsabfragen innerhalb der manipulierten App zurückliefern. Dazu gehören Prüfungen der App-Signatur, aktiver Bedienungshilfen und der Play-Integrity-Schnittstelle. Dadurch können Angreifer bestimmte Schutzmechanismen gezielt umgehen.

Passwörter, PINs und SMS im Visier

Die Möglichkeiten der Schadsoftware gehen über das Abfangen von Zugangsdaten hinaus. Hirudo kann Passwörter und Zahlungs-PINs erfassen, SMS-Nachrichten auslesen sowie Bildschirminhalte übertragen. Auch Kamera und Mikrofon lassen sich für Fernzugriffe missbrauchen. Gefälschte Zahlungsdialoge können zudem eine erfolgreiche Transaktion vortäuschen, obwohl eingegebene Daten bereits an die Angreifer übermittelt wurden.

Bildquelle. SE-Wallpaper

Die untersuchten Kampagnen richten sich nicht ausschließlich gegen Nutzer in Indonesien. In der Schadsoftware fanden sich Hinweise auf Finanzanwendungen aus China, Indien, Mexiko, Marokko und Thailand. Wie viele Geräte tatsächlich betroffen sind, lässt sich daraus nicht zuverlässig ableiten. Android-Nutzer sollten Anwendungen möglichst aus vertrauenswürdigen Quellen beziehen und Berechtigungen für Bedienungshilfen nur dann erteilen, wenn sie für den vorgesehenen Zweck erforderlich sind. Google Play Protect überprüft auch Apps aus externen Quellen und kann vor erkannter Schadsoftware warnen oder diese entfernen.

Ebenfalls interessant:

PS Plus im November 2026: Diese drei Spiele sind dabei 

FritzOS 8.50 startet: Welche Fritzboxen jetzt aktualisiert werden

RTX 5090 nicht mehr lieferbar: Unsicherheit bei Herstellern und Zulieferern