Android-App „PDF Reader“: Anatsa-Trojaner zielt auf 831 Banken weltweit

Sicherheitsexperten schlagen Alarm wegen einer bösartigen Anwendung auf Android-Geräten: Über eine im offiziellen Google Play Store platzierte Anwendung mit der Bezeichnung "PDF Reader" wurde der berüchtigte Banking-Trojaner Anatsa verbreitet. Die Schadsoftware ist darauf ausgelegt, sensible Finanz- und Zugangsdaten beim Online-Banking abzugreifen, und nimmt Institute rund um den Globus ins Visier.

Getarntes Update umgeht Googles Sicherheitsprüfungen

Betroffen ist die App "PDF Reader" des Entwicklers Duka Zuri, die unter dem Paketnamen com.railforge.footplate.documentreader_pdfviewer registriert war. Nach Erkenntnissen der Sicherheitsforscher von Zscaler ThreatLabz verzeichnete das Programm im Google Play Store eine Reichweite von mehr als 10.000 Installationen. Diese Zahl beschreibt die Reichweite des Eintrags und entspricht nicht zwingend der Menge tatsächlich kompromittierter Geräte.

Um Sicherheitsüberprüfungen zu unterlaufen, setzten die Hinterleute auf eine mehrstufige Infektionskette. Nach der Ersteinrichtung fungiert das Programm vordergründig lediglich als einfacher Dateimanager.

Erst im weiteren Verlauf lädt die Applikation die eigentliche Schadsoftware in Form eines getarnten Updates auf das Gerät herunter. Zuvor führt die Anwendung eine Systemprüfung durch: Sie analysiert das jeweilige Modell und stellt sicher, dass sie nicht auf einem Emulator oder in einer isolierten Sicherheitsumgebung ausgeführt wird.

Millionen Deutsche nutzen täglich Online-Banking per Smartphone – ohne diesen Schutz ist das gefährlich. Experten warnen: Wer diese 5 Maßnahmen nicht kennt, riskiert Datenverlust und finanzielle Schäden. 5 sofort umsetzbare Schutzmaßnahmen entdecken

Weitreichende Berechtigungen und Hunderte Angriffsziele

Sobald der Trojaner Anatsa aktiv ist, fordert die Schadsoftware den Zugriff auf die Bedienungshilfen des Betriebssystems ein. Über diese weitreichenden Rechte erlangt die Schadsoftware die Kontrolle über das Endgerät, kann Bildschirminhalte auslesen und Aktionen automatisiert ausführen.

Zudem fängt das Schadprogramm SMS-Nachrichten ab, wodurch Angreifer auch Authentifizierungscodes für Bankgeschäfte abfangen können. Beim Start legitimer Banking-Apps legt die Schadsoftware gefälschte Anmeldefenster über die Originalanwendung, um Passwörter und Zugangsdaten unbemerkt abzufangen.

Das Ausmaß der Bedrohung hat sich nach Analysen von Zscaler ThreatLabs signifikant vergrößert. Die Zahl der Angriffsziele von Anatsa stieg demnach von 650 auf inzwischen 831 Banken sowie Krypto-Dienste weltweit. Zu den neu ins Visier genommenen Regionen gehören Deutschland und Südkorea. Neben der Reader-App tarnt sich die Malware auch als Dateimanager unter dem Paketnamen com.synexa.fileops.fileedge_organizerviewer.

Ein veraltetes Smartphone ist wie eine offene Haustür für Cyberkriminelle und erleichtert Trojanern das Handwerk. Dieser kostenlose Report zeigt Ihnen in 5 einfachen Schritten, wie Sie Ihr Android-Gerät durch richtige Updates dauerhaft vor Malware schützen. Kostenlosen Android-Sicherheits-Report herunterladen

Store-Eintrag nicht mehr erreichbar

Die Analysten von Zscaler ThreatLabz hatten die Bedrohung an einem Donnerstag über die Plattform X publik gemacht. Am 9. Oktober war die entsprechende Produktseite im Google Play Store nicht mehr abrufbar. Ob die Anwendung von Google selbst entfernt oder vom Entwickler zurückgezogen wurde, ist nicht bestätigt.

Sicherheitsexperten raten Android-Nutzern generell zur Wachsamkeit bei der Vergabe von Berechtigungen. Insbesondere Anfragen nach Zugriff auf die Bedienungshilfen sollten bei vermeintlich simplen Werkzeugen wie PDF-Betrachtern misstrauisch machen. Wer die betroffene Anwendung auf seinem Smartphone installiert hat, sollte das Programm umgehend entfernen und die eigenen Kontobewegungen auf verdächtige Transaktionen prüfen.