Mirax: Android-Banking-Malware steuert Smartphones fern und räumt Konten leer

Sicherheitsforscher haben eine neuartige Android-Banking-Malware namens Mirax identifiziert. Die Schadsoftware verbreitet sich über betrügerische Werbeeinblendungen sowie Videolinks in Streaming-Anwendungen, übernimmt die Fernsteuerung kompromittierter Mobiltelefone und bucht unbemerkt Gelder von Bankkonten ab. Berichten vom 10. November 2026 zufolge handelt es sich um eine technisch ausgefeilte Kampagne mit gravierenden wirtschaftlichen Schäden.

Tausende Infektionen und Schäden in Millionenhöhe

Laut einem Bericht des IT-Sicherheitsunternehmens Gruppe-IB vom 5. November 2026 infizierte die Kampagne zwischen März und September 2026 nachweislich Tausende Android-Geräte von Kunden im Retail-Banking. Geografisch konzentrierten sich die erfassten Attacken auf den Nahen Osten, die Türkei sowie Regionen in Afrika.

Die bisher bestätigten Betrugsfälle belaufen sich auf Verluste in Millionenhöhe von US-Dollar. Die Verfasser des Berichts betonen, dass diese Summe lediglich die bereits sichtbar gewordenen Vorfälle abbildet; die reale Dunkelziffer wird weitaus höher eingeschätzt.

Technische Spuren wie die Build-Kennungen „aquafina“ und „aquafina_all“ deuten auf geplante Entwicklungszyklen hin. Dabei verzeichneten die Analysten markante Aktivitätsspitzen während der Eid-Feiertage sowie gegen Ende Juli.

Wer sein Smartphone für Banking oder Zahlungsdienste nutzt, ist zunehmend im Visier professioneller Hacker-Kampagnen. Dieser kostenlose Ratgeber zeigt Ihnen, wie Sie Ihr Android-Gerät mit fünf einfachen Maßnahmen effektiv gegen unbefugte Zugriffe absichern. 5 sofort umsetzbare Schutzmaßnahmen entdecken

Mehrstufige Infektion und Missbrauch von Systemrechten

Die Infektion der Endgeräte erfolgt über vorgeschaltete Werbelinks innerhalb scheinbar legitimer Streaming-Apps aus Googles offiziellem App-Marktplatz. Nutzer werden darüber auf externe Webseiten geleitet, um Installationsdateien außerhalb des App-Stores herunterzuladen. Unter anderem traten die Angreifer mit gefälschten Angeboten wie einer angeblichen App „TikTok 18+“ auf.

In einem zweiten Schritt lädt das Programm eine weitere Stufe nach, die sich als Systemkomponente unter der Bezeichnung „Google Play Services“ tarnt, dabei jedoch einen kyrillischen Buchstaben im Namen nutzt. Die Schadsoftware fordert anschließend Zugriff auf die Android-Bedienungshilfen an.

Über diese Schnittstelle missbraucht Mirax weitreichende Kontrollfunktionen: Das Programm überwacht Bildschirminhalte, liest Tastatureingaben mit, fängt SMS-Nachrichten ab und erbeutet Entsperrgeheimnisse sowie PIN-Codes der betroffenen Anwender.

Veraltete Systemkomponenten und fehlende Sicherheitsupdates machen es Schadsoftware besonders leicht, die Kontrolle über Mobilgeräte zu übernehmen. Erfahren Sie in diesem Gratis-Report, wie Sie Sicherheitslücken schließen und automatische Schutzfunktionen richtig konfigurieren. Kostenlosen Android-Sicherheits-Ratgeber herunterladen

Umleitungs-Infrastruktur und Geldwäsche über Indien

Die Befehls- und Steuerungsarchitektur stützt sich auf zwei WebSocket-Kanäle und hält als Ausweichlösung HTTP-Long-Polling sowie verschlüsselte Namensauflösung über DNS-over-HTTPS bereit. Über diesen Kommunikationsweg sendet der Server serverseitig nachinstallierte Eingabemasken an die Telefone, die speziell auf mehr als 20 Banking- und Wallet-Apps sowie globale Kryptobörsen abgestimmt sind.

Neben dem Abgriff von Transaktionsdaten verfügt Mirax über ein integriertes SOCKS5-Modul, das befallene Smartphones in sogenannte Residential-Proxys verwandelt und den Angreifern für Netzwerkumleitungen zur Verfügung stellt. Die unrechtmäßig transferierten Finanzmittel flossen im Rahmen der Kampagne international ab; den vorliegenden Erkenntnissen nach wurden sie vor allem über mutmaßliche Finanzagenten-Konten in Indien weitergeleitet.