Hirudo: Android-Schadsoftware ersetzt Banking-Apps durch manipulierte Kopien

Sicherheitsforscher des Unternehmens ThreatFabric haben eine neuartige Android-Schadsoftware namens Hirudo identifiziert. Die Schadsoftware hebt sich von bisherigen Angriffsmustern ab, da sie bestehende, legitime Banking-Anwendungen deinstalliert und durch modifizierte, trojanisierte Versionen ersetzt, um sensible Zugangs- und Finanzdaten abzugreifen.

Vollständige Anwendungsersetzung statt einfacher Overlays

Klassische Banking-Trojaner blenden in der Regel gefälschte Anmeldefenster über echte Anwendungen ein. Hirudo geht laut den Sicherheitsanalysten einen Schritt weiter: Als Remote-Access-Trojaner (RAT) zielt die Schadsoftware auf eine vollständige Ersetzung der Zielanwendung ab. Nach der Entfernung des Originals installiert das Programm einen bösartigen Zwilling, der über weitreichende Manipulationsmöglichkeiten verfügt.

Durch diese Methode kombiniert Hirudo den direkten Diebstahl von Anmeldedaten auf dem infizierten Gerät mit einer Live-Fernsteuerung. Dadurch können Cyberkriminelle potenziell direkt auf Gelder zugreifen und Transaktionen in Echtzeit manipulieren. Ein spezieller Hooking-Mechanismus sorgt dafür, dass übliche Sicherheitsprüfungen wie Signaturkontrollen, Prüfungen der Bedienungshilfen sowie Google-Play-Integrity-Abfragen umgangen werden.

Die Malware nutzt unter anderem transparente Android-WebViews, um bankenspezifische Oberflächen darzustellen. Auf gefälschten Zahlungsseiten, deren Bezahlprozess acht Sprachen unterstützt, fängt das Programm Zahlungs-PINs ab, leitet diese an Server der Angreifer weiter und täuscht den Nutzern einen erfolgreichen Abschluss vor.

Wer sich mit den Gefahren durch Banking-Trojaner befasst, sollte sein Gerät proaktiv gegen solche Zugriffe absichern. Dieser kostenlose PDF-Ratgeber zeigt Ihnen 5 einfache Schritt-für-Schritt-Maßnahmen, um Ihr Android-Smartphone effektiv vor Hackern und Viren zu schützen. 5 sofort umsetzbare Schutzmaßnahmen entdecken

Darüber hinaus greift Hirudo Bankpasswörter, Geräte-PINs, Bildschirminhalte sowie SMS-Nachrichten der vergangenen 90 Tage ab. Auch Kamera und Mikrofon des infizierten Smartphones können für unbefugte Zugriffe missbraucht werden.

Tarnung als Unterhaltungs- und Shopping-Apps

Verteilt wird Hirudo primär über Anwendungen, die sich als Einkaufs-, Unterhaltungs- oder Kurzvideoprogramme tarnen. Bekannt sind unter anderem Apps mit den Namen Shopora, 1V1 X, ZoyaTV und KoiShort.

Diese Anwendungen bieten zunächst reale Inhalte an, fordern die Anwender jedoch nach einer gewissen Zeit zu einem gefälschten Update auf. Über diesen Schritt wird eine zweite Anwendung nachgeladen, die gezielt nach weitreichenden Rechten für die Android-Bedienungshilfen verlangt.

Zunächst wurde die Schadsoftware im Zusammenhang mit Bankanwendungen aus Indonesien beobachtet. ThreatFabric entdeckte dort Kopien von 8 Bankanwendungen von 7 indonesischen Banken. Im internen Register von Hirudo finden sich insgesamt 42 Finanz-Apps.

Der Programmcode deutet zudem darauf hin, dass weitere Finanzinstitute in China, Indien, Mexiko, Marokko und Thailand im Visier der Entwickler stehen. Daten aus dem Backend der Angreifer aus dem August 2026 enthielten bereits Tausende von Anmeldedatensätzen; die genaue Zahl der Opfer ist unklar, liegt nach bisherigen Erkenntnissen jedoch im Bereich von mehreren Tausend.

Oft reicht ein unbedachtes App-Update aus, um Kriminellen den Zugriff auf sensible Daten zu ermöglichen. Erfahren Sie in diesem gratis Sicherheits-Report, wie Sie Sicherheitslücken schließen und WhatsApp, PayPal sowie Banking-Apps endlich sicher nutzen. Kostenlosen Android-Sicherheits-Ratgeber herunterladen

Am 14. Oktober 2026 stieß ThreatFabric zudem auf das Branding des Instituts Maybank in einem gefälschten Bezahlbildschirm der Malware. Es liegen allerdings keine Hinweise darauf vor, dass die MAE-App der Maybank kompromittiert wurde oder Kunden der Bank finanzielle Schäden erlitten haben. Maybank rollt seit dem 26. September 2026 ab der Version 0.9.51 eine Schutzfunktion gegen Schadsoftware aus.

Zum Schutz vor derartigen Bedrohungen wird geraten, Apps ausschließlich aus offiziellen Quellen zu beziehen und keine APK-Installationsdateien aus Drittquellen herunterzuladen. Zudem sollten Anwender die Funktion Google Play Protect regelmäßig überprüfen und das Android-Betriebssystem stets auf dem aktuellen Stand halten.

Mehr zum Thema bei CHIP: „Neue Android-Malware ersetzt Banking-Apps durch manipulierte Version und greift Daten ab“