Android-Trojaner: Sieben Familien fangen 7,6 Millionen SMS von Bankkunden ab

Sicherheitsforscher haben großangelegte Angriffe auf Kunden indischer Finanzinstitute aufgedeckt. Laut einem Bericht des IT-Sicherheitsunternehmens Group-IB vom 28. Oktober 2026 fingen sieben verschiedene Android-Trojaner-Familien insgesamt 7.611.443 SMS ab, darunter vertrauliche Einmalpasswörter (One-Time-Passwords, OTPs).

Tausende infizierte Smartphones und manipulierte APKs

Die Analysen von Group-IB identifizierten die Schadsoftware-Familien cyb3rx, appkjl, godz, d-passive, d-shine, GhostBat/GhostGrab sowie tenxen. Insgesamt wurden mindestens 17.960 Smartphones von Kunden indischer Banken infiziert. Diese Gesamtzahl setzt sich aus 2.364 Geräten zusammen, die über Installations-Benachrichtigungen erfasst wurden, sowie 15.596 weiteren Geräten, die aus einem offenen Firebase-Speicher ermittelt werden konnten.

Um die Opfer zur Installation der schädlichen Android-Pakete (APKs) zu verleiten, nutzten die Angreifer gezielte Täuschungen. Die digitalen Köder imitierten elf indische Banken sowie zwei offizielle Regierungsprogramme.

Zu den nachgeahmten Marken gehörten unter anderem die Punjab National Bank und die IDFC First Bank. Group-IB stellte fest, dass die manipulierten APKs auf der Entwicklerplattform GitHub gehostet wurden. Nach einer entsprechenden Meldung wurden die betroffenen Nutzerkonten deaktiviert.

Wer Online-Banking oder Apps auf seinem Android-Gerät nutzt, sollte die Gefahr durch Trojaner und Datenspionage nicht unterschätzen. Dieser kostenlose PDF-Ratgeber zeigt Ihnen 5 einfache Schritte, mit denen Sie Ihr Smartphone effektiv gegen Hacker und Viren absichern können. 5 sofort umsetzbare Schutzmaßnahmen entdecken

Geschäftsmodell im Abonnement und gezielte Verschleierung

Parallel dazu dokumentierte das Sicherheitsunternehmen CloudSEK Aktivitäten rund um die Malware-Operation MR ROBOT, die über ein Abonnementmodell vertrieben wird. Ein Affiliate-Partner dieser Schadsoftware betrieb ein Administrations-Panel mit rund 154 Geräten und fing 3.270 Nachrichten ab.

Von diesen Geräten wurden 149 der 153 erfassten Telefone im Mai registriert. Die Infektionen verteilten sich auf acht Hersteller – überwiegend günstige Android-Modelle – und erstreckten sich über alle vier großen indischen Mobilfunknetze. Der aktivste Tag dieser Kampagne war der 25. Juli mit 562 abgefangenen Nachrichten.

CloudSEK zufolge bot eine Storefront auf der Plattform Telegram rund 36 Täuschungs-Apps an. Das Angebot umfasste Nachahmungen von neun Banken sowie gefälschte Seiten für Verkehrsbußgelder, die minimale Schein-Zahlungen in Höhe von 9 oder 10 indischen Rupien vorsahen.

Der Schutz vor manipulierten Apps und Sicherheitslücken wird für Smartphone-Nutzer immer wichtiger, um Datenverlust und finanzielle Schäden zu verhindern. Ein aktueller Gratis-Report erläutert, wie Sie durch die richtigen Updates und Einstellungen Ihr Android-Gerät dauerhaft vor Malware schützen. Kostenlosen Sicherheits-Ratgeber herunterladen

Technisch arbeitet die Schadsoftware mit Verschleierungstaktiken: Sie verzögert ihre bösartigen Aktionen teilweise um mindestens 48 Stunden, blendet App-Icons aus, greift auf verschlüsselte Komponenten zurück und verwendet für jeden Affiliate-Partner eigene Firebase-Datenbanken.