Android/ RewaFake: Gefälschte Apps auf 500.000 Geräten in 190 Ländern

Sicherheitsforscher verzeichnen eine besorgniserregende Zunahme mobiler Banking-Trojaner, die versuchen, unbemerkt Finanzdaten von den Smartphones der Nutzer abzugreifen. Die Bedrohungslage spitzt sich dabei durch immer ausgefeiltere Angriffsmethoden zu, bei denen die Schädlinge schrittweise zu mächtigen Werkzeugen für den Fernzugriff ausgebaut werden.

Laut dem aktuellen Malware-Trend-Report von Point Wild für das dritte Quartal 2026, erstellt vom Lat61 Threat Intelligence Team, entfallen 56,4 Prozent der erkannten Android-Schadsoftware auf Banking-Trojaner. Viele dieser Programme entwickeln sich zunehmend zu Fernzugriffstools, die eine weitreichende Gerätekontrolle ermöglichen.

Dr. Zulfikar Ramzan, Technik- und KI-Vorstand bei Point Wild, erklärte dazu, dass Banking-Trojaner Mobiltelefone inzwischen weitgehend steuern können und der Einsatz von generativer künstlicher Intelligenz entlang der Malware-Lieferkette zunehme.

Unter anderem rekonstruiere Software wie RatHat Entsperrmuster mithilfe generativer KI. Zudem nutzen Kriminelle manipulierte Installationsdateien, Täuschungen von Play Protect, Schwachstellen beim drahtlosen Debugging sowie Nahfeldkommunikations-Relay-Angriffe über Schadprogramme wie SpyNote RAT und WindRelay.

Neue Kampagnen imitieren Original-Apps und hebelt Schutzmechanismen aus

Dass auch offizielle Download-Plattformen betroffen sind, zeigen jüngste Funde. So verbreitete eine als PDF-Reader getarnte Anwendung des Entwicklers Duka Zuri mit dem Paketnamen com.railforge.footplate.documentreader_pdfviewer den Trojaner Anatsa.

Die Anwendung verzeichnete mehr als 10.000 Installationen im Google Play Store, während die tatsächliche Zahl der Infektionen unbekannt bleibt. Das Programm lud Schadcode in Form von Updates nach, umging die Überprüfung durch Play Protect, forderte weitreichende Bedienungshilfen-Berechtigungen an, fing SMS-Nachrichten ab und legte gefälschte Anmeldeseiten über legitime Banking-Apps.

Angesichts der steigenden Zahl raffinierter Banking-Trojaner wird der Schutz des eigenen Mobiltelefons immer wichtiger. Dieser kostenlose Ratgeber zeigt Ihnen in fünf einfachen Schritten, wie Sie Ihr Android-Smartphone wirksam gegen Hacker und Datenmissbrauch absichern. 5 Schutzmaßnahmen jetzt entdecken

Nach Analysen von Zscaler ThreatLabs hat Anatsa seine Zielbasis von 650 auf 831 Finanz- und Kryptodienste weltweit ausgebaut, darunter Ziele in Deutschland und Südkorea. Insgesamt wurden 77 Malware-Familien, darunter Anatsa, Joker und Harly, mit über 19 Millionen Installationen in Google Play nachgewiesen.

Gleichzeitig entdecken Analysten hochspezialisierte neue Schadsoftware-Varianten. ThreatFabric meldete am 14. Oktober 2026 den Android-Trojaner Hirudo, der Original-Bankanwendungen durch signierte Klone ersetzt und interne Sicherheitsprüfungen der Banken aushebelt.

Hirudo ermittelt installierte Bankprogramme, blendet gefälschte Update-Hinweise ein, führt den Nutzer in den Deinstallationsdialog und installiert anschließend manipulierte Klone mit identischem Paketnamen und gleicher Versionsnummer.

Wer sich vor den beschriebenen Sicherheitslücken und Malware-Angriffen schützen möchte, sollte die Aktualität seines Betriebssystems nicht dem Zufall überlassen. Erfahren Sie in diesem Gratis-Report, wie Sie durch die richtigen Updates und Einstellungen Ihr Gerät rund um die Uhr absichern. Kostenlosen Android-Sicherheits-Ratgeber herunterladen

Die Schadsoftware zielt primär auf acht Banking-Apps bei sieben Instituten in Indonesien ab, führt in ihrem Code jedoch auch Ziele in China, Indien, Mexiko, Marokko und Thailand sowie ein Register von 42 Finanz-Apps.

Die Verbreitung erfolgt über vorgeschaltete Hilfsprogramme wie Shopora, 1V1 X, ZoyaTV oder KoiShort. Backend-Daten wiesen tausende erbeutete Zugangsdaten und Geräteprofile inklusive monatlichem Einkommen und Risikobewertung auf.

Ausbau zu Fernzugriffswerkzeugen und Erpressungssoftware

Weitere Bedrohungen unterstreichen die technische Weiterentwicklung. Der neu entdeckte Trojaner YuanKong nutzt Bedienungshilfen, gefälschte Zahlungsmasken und lokale Debugging-Schnittstellen aus, um Geräte vollständig zu übernehmen und Zahlungs-PINs abzufangen, während die Aktivitäten hinter einem abgedunkelten Bildschirm verborgen bleiben.

Cyble warnt vor GhostBat, einem als Dienstleistung vertriebenen Schadprogramm auf Basis des GhostX-Frameworks, das mehr als 60 indische Finanz- und Bezahldienste überwacht und über transparente Überlagerungen Eingaben in Zahlungs-Apps mitschneidet.

Zudem registrieren Analysten neue Schadfunktionen bei bekannten Akteuren. Laut Zimperium zLabs wurde die mutmaßlich auf dem geleakten Quellcode von ERMAC basierende Variante HOOK um Erpressungsfunktionen erweitert.

Bei einem entsprechenden Befehl startet die Schadsoftware eine Bildschirmsperre mit Warnmeldung, Wallet-Adresse und variabler Geldforderung. Zudem wurden die Fernsteuerungsbefehle von 69 auf 107 erweitert, um unter anderem Gesten aufzuzeichnen und Entsperrmuster abzugreifen.

Gleichzeitig deckte das McAfee Mobile Research Team die Kampagne Android/RewaFake auf, bei der mehr als 1.900 nachgeahmte Apps auf über 500.000 Geräten in mehr als 190 Ländern entdeckt wurden – darunter 5.016 Fälle in Deutschland. Google hat die betroffenen Anwendungen inzwischen entfernt.

Monitoringdaten des Anbieters Megafon belegen den allgemeinen Aufwärtstrend: Dort kletterte die Zahl betroffener Smartphones zwischen Juni und August 2026 um 34 Prozent gegenüber dem Vorjahreszeitraum, mit einem Spitzenanstieg von 77 Prozent im August.