Eine harmlose App zum Öffnen von PDFs wird plötzlich zur Banking-Falle. Auf mehr als 10.000 Android-Handys wurde die Anwendung bereits installiert. Eigentlich soll sie nur PDF‑Dateien öffnen und verwalten. Doch im Hintergrund lädt sie später einen gefährlichen Banking-Trojaner nach.
Sicherheitsforscher von Zscaler ThreatLabz entdeckten im offiziellen Google Play Store die App „PDF Reader“ des Entwicklers Duka Zuri. Mehr als 10.000 Nutzer hatten sie bereits heruntergeladen, bevor Google sie aus dem Store entfernte. Wie viele Smartphones tatsächlich infiziert wurden, ist bislang nicht bekannt.
Erst harmlos, dann kommt der Trojaner
Das Tückische: Die App erfüllt zunächst ihre versprochene Funktion als PDF-Reader beziehungsweise Dateimanager. Zudem kann sie erkennen, ob sie beispielsweise auf einem von Sicherheitsforschern verwendeten virtuellen Testgerät läuft, und dort ihre Schadfunktion verbergen. Damit soll die Entdeckung der Schadfunktion erschwert werden.
Erst später lädt die App im Hintergrund von einem Server der Angreifer weitere Schadsoftware herunter. Dabei tarnt sie den Download als Update. Der Banking-Trojaner Anatsa gelangt so nachträglich auf das Gerät. Die Schadsoftware fordert Zugriff auf die Android-Bedienungshilfen an. Diese Funktionen sollen eigentlich Menschen unterstützen, die bei der Bedienung ihres Smartphones Hilfe benötigen. Anatsa missbraucht die weitreichenden Zugriffsrechte, um sich weitere Berechtigungen zu verschaffen.
Für Bankkunden besonders gefährlich: Kriminelle können gefälschte Log-in-Seiten über die echte Banking-App legen. Wer dort seine Daten eingibt, kann den Betrügern Zugangsdaten und sogar SMS-Bestätigungscodes liefern.
Anatsa ist kein neuer Schädling. Der Trojaner wird seit mindestens 2020 mit wechselnden Tarn-Apps und Entwicklerkonten verbreitet. Eine frühere Angriffswelle richtete sich gegen mehr als 650 Finanzinstitute. Inzwischen sollen mehr als 800 Institute und Krypto-Plattformen zu den Zielen gehören, darunter auch solche in Deutschland und Südkorea.
Noch eine Banking-Gefahr für Android-Nutzer
Anatsa ist nicht die einzige aktuelle Bedrohung. Sicherheitsforscher von ThreatFabric berichten über eine weitere Android-Malware namens Hirudo. Sie tarnt sich beispielsweise als Shopping-, Unterhaltungs- oder Kurzvideo-App. Hat Hirudo ausreichenden Zugriff auf das Smartphone erlangt, kann die Schadsoftware die echte Banking-App durch eine manipulierte Version ersetzen. Besonders perfide: Die gefälschte App sieht dem Original täuschend ähnlich.
ThreatFabric hat bislang Kopien von acht Banking-Apps entdeckt. Die Malware kann Bankpasswörter, Zahlungs- und Geräte-PINs sowie SMS und Bildschirminhalte abgreifen. Auch Kamera und Mikrofon können missbraucht werden. Manipulierte Zahlungsseiten können Nutzern nach Eingabe ihrer Daten sogar vorgaukeln, eine Zahlung sei erfolgreich abgeschlossen worden.
Bislang wurde Hirudo unter anderem im Zusammenhang mit Banking-Apps aus Indonesien beobachtet. Hinweise gibt es außerdem auf Ziele in China, Indien, Mexiko, Marokko und Thailand. Die genaue Zahl der Opfer ist nicht bekannt, soll aber in die Tausende gehen.
