ArcticRAT: Android-Malware nutzt xAI, um Bankdaten gezielt zu filtern

Sicherheitsexperten von Zimperium zLabs haben eine neuartige Schadsoftware für Android-Geräte aufgedeckt. Wie das Unternehmen in einer am 12. November 2026 veröffentlichten Analyse mitteilt, kombiniert die Malware namens ArcticRAT Echtzeit-Fernsteuerung mit künstlicher Intelligenz, um gezielt Finanzdaten zu erfassen. Während Angreifer im Hintergrund agieren, wird das Smartphone über eine Bildschirmmanipulation optisch lahmgelegt.

Tarnung durch abgeschaltete Bildschirmanzeige

ArcticRAT hat sich laut Zimperium von einem reinen Krypto-Dieb, der in früheren Versionen elf Krypto-Anwendungen im Visier hatte, zu einem vollwertigen Fernzugriffstrojaner entwickelt. Die Malware verbirgt ihre Aktivitäten durch ein schwarzes, nicht schließbares Overlay mit einer Helligkeit von null.

Während das Smartphone für den Besitzer wie ausgeschaltet wirkt, führen die Angreifer im Hintergrund unbemerkt Überwachungsmaßnahmen und Datendiebstähle aus. Neben diesem abgedunkelten Zustand setzt das Schadprogramm gefälschte Sperrbildschirme sowie eine vorgetäuschte Erpressungsanzeige ein, bei der allerdings keine tatsächliche Verschlüsselung stattfindet.

Über eine VNC-Funktion auf den Netzwerkports 9999, 8888, 5000 und 5055 überträgt ArcticRAT JPEG-Frames des Bildschirms. Zudem missbraucht die Software die ab Android 11 verfügbare drahtlose Debugging-Funktion, um eine privilegierte Shell zu etablieren.

Wer sein Android-Smartphone täglich für Banking oder sensible Kommunikation nutzt, sollte die grundlegenden Sicherheitsvorkehrungen genau kennen. Dieser kostenlose Ratgeber zeigt Ihnen in fünf einfachen Schritten, wie Sie Ihr Gerät effektiv gegen Hacker und Datendiebstahl absichern. 5 sofort umsetzbare Schutzmaßnahmen entdecken

Das Repertoire der Malware umfasst Keylogging, Screenshots, Live-Screen-Übertragungen, Audioaufnahmen über das Mikrofon sowie den Abgriff von SMS-Nachrichten, Kontakten, Anruflisten und Sperrbildschirm-Informationen.

Automatisierte Datenfilterung via xAI-Schnittstelle

Eine Besonderheit von ArcticRAT liegt in der Nutzung einer KI-Schnittstelle über xAI mit dem Modell grok-4.20-0309-non-reasoning. Angreifer steuern über zwei Prompts eine automatisierte Analyse an: Zunächst prüfen sie installierte Anwendungen auf Bank-, Krypto- und Handelssoftware, anschließend durchforsten sie SMS-Nachrichten nach Einmalpasswörtern, Kontoständen und Überweisungsdaten.

Aus den Funden erstellt das Sprachmodell eine Einschätzung der finanziellen Situation des Opfers im JSON-Format, die lokal gespeichert wird. Nach Angaben von Zimperium handelt es sich dabei nicht um eine autonome Kompromittierung, sondern um ein werkzeuggestütztes Feature, das die Zeitspanne zwischen Erstinfektion und Abfluss von Geldern drastisch verkürzt.

Mit dem Fund folgt ArcticRAT auf Fälle wie RatHat, eine weitere KI-gestützte Schadsoftware aus dem September 2026. Chiaraviglio von Zimperium stufte die Entwicklung als gefährliche Eskalation ein und betonte, dass herkömmliche signaturbasierte Sicherheitslösungen für diesen Schutz nicht mehr ausreichen.

Infektionswege und Gegenmaßnahmen

Seit Juli 2026 registrierte Zimperium 78 Samples der Bedrohung, aufgeteilt auf 42 Dropper und 36 Payloads, 129 Angreifer-Befehle sowie 21 Server-Adressen für die Befehlsinfrastruktur. Zwei Drittel dieser Server befinden sich in Hongkong, 20 Prozent stehen in Deutschland.

Die Verbreitung erfolgt über Malvertising, Phishing per SMS, gefälschte Google-Play-Auftritte, Foren und teils über AWS-Speicherdienste. Dabei tarnen sich die Installationsdateien als Amazon, Dateimanager, TikTok oder Krypto-Apps unter Paketnamen wie net.iceflow.arcticlink und net.frostlink.iceforge.

Ein veraltetes Betriebssystem bietet oft die entscheidende Angriffsfläche für moderne Schadsoftware wie Trojaner und Spyware. Wie Sie durch die richtigen Android-Updates Sicherheitslücken schließen und Ihr Gerät dauerhaft schützen, erfahren Sie in diesem kostenlosen Experten-Report. Kostenlosen Sicherheits-Ratgeber herunterladen

Einmal auf dem Gerät, fordert der Dropper VPN-Berechtigungen an, unterbindet die Telemetrie von Google Play Protect und täuscht einen gewöhnlichen Installationsvorgang vor.

Bestätigte Unternehmensnetzwerk-Einbrüche verzeichnete Zimperium bislang nicht. Als Einfallstor gelten vor allem unverwaltete Mobilgeräte, auf denen geschäftliche E-Mails und Anmeldecodes verarbeitet werden.

Zur Risikominimierung raten Sicherheitsexperten, das manuelle Nachladen von App-Dateien aus externen Quellen einzuschränken, den Missbrauch von Bedienungshilfen schärfer zu überwachen, Debugging-Schnittstellen zu sperren und phishingresistente Multi-Faktor-Authentifizierung einzusetzen.

Als unmittelbare Gegenmaßnahmen wurden Angriffsmuster und Indikatoren geteilt, Updates für Google Play Protect bereitgestellt und Schritte zur Abschaltung der 21 Server eingeleitet. Die Aktivitäten werden im MITRE ATT&CK Mobile Framework unter anderem den Techniken T1453, T1404, T1417 und T1636.004 zugeordnet.