MR ROBOT: CloudSEK entdeckt Android-Malware für gefälschte Banking-Apps

Das Sicherheitsunternehmen CloudSEK hat in einem Bericht vom 28.10.2026 eine zuvor nicht dokumentierte Schadsoftware-Plattform namens MR ROBOT identifiziert. Das System wird nach dem Modell Malware-as-a-Service betrieben und richtet sich gezielt gegen Kunden indischer Banken.

Ein Master-Operator vermietet dabei den Zugang an verbundene Akteure, die mithilfe eines Telegram-Bots namens „APK Shield“ sowie eines webbasierten Steuerungspanels in der Version 7.0 personalisierte Banking-Trojaner erstellen können.

Automatisierte Erstellung täuschend echter Anwendungen

Die Plattform vereinfacht die Erstellung manipulierter Anwendungen erheblich. Beteiligte Akteure wählen die jeweilige Zielbank über ein Dropdown-Menü aus, woraufhin das System automatisch eine gefälschte App sowie eine nachgeahmte Google-Play-Store-Seite erzeugt. Die Verbreitung der Schadprogramme erfolgt anschließend vor allem über WhatsApp, SMS und Telegram.

Laut CloudSEK umfasst der Katalog der Plattform rund 36 sogenannte Lure-Apps. Neben neun Instituten aus dem öffentlichen und privaten Bankensektor imitieren die Anwendungen auch Versorgungsbetriebe für Gas, Wasser und Strom sowie Plattformen für Telekommunikationsaufladungen.

Ebenfalls im Repertoire befinden sich Köder für RTO-Verkehrsstrafen, bei denen eine geringe Schein-Gebühr von ?9–10 erhoben wird, um persönliche Identifikationsnummern wie die PAN abzugreifen.

Umfangreiche Spionagefunktionen und verdeckte Steuerung

Einmal auf dem Smartphone installiert, spähen die Trojaner sensible Daten aus. Sie fangen eingehende SMS-Nachrichten sowie Einmalpasswörter (OTP) ab, aktivieren über den Steuercode *21# eine Rufumleitung und blenden manipulierte Overlays ein. Diese erfassen Kartendaten, PINs, UPI-Informationen, Aadhaar- und PAN-Nummern sowie Zugangsdaten zum Online-Banking. Zur Befehls- und Kontrollinfrastruktur gehören die Firebase Realtime Database und Telegram. Um einer Entdeckung zu entgehen, verschwindet das App-Symbol unmittelbar nach der Installation vom Startbildschirm, während Anrufe von Banken unbemerkt weitergeleitet werden.

Zudem verfügt die Schadsoftware über einen Schlafmodus: Sie bleibt mindestens 48 Stunden oder drei Gerätestarts lang inaktiv. Jede erstellte Programmkopie erhält darüber hinaus eine eigene Signatur, was die Erkennung durch Sicherheitslösungen erschwert.

Banking, WhatsApp und Online-Shopping – auf kaum einem Gerät speichern wir so viele sensible Daten wie auf dem Smartphone. Dieser kostenlose Ratgeber zeigt Ihnen, wie Sie Ihr Android-Gerät mit fünf einfachen Maßnahmen wirksam gegen Hacker und Viren absichern. 5 sofort umsetzbare Schutzmaßnahmen entdecken

Analyse von Partnerkonten offenbart Betroffenenkreis

Die Sicherheitsanalysten untersuchten auch konkrete Kampagnen einzelner Nutzer der Plattform. Bei einem ersten Akteur ließen sich rund 154 infizierte Geräte und rund 3.270 abgefangene Nachrichten nachweisen.

Eine exponierte Datenbank eines weiteren Akteurs mit Stand vom 30.07.2026 enthielt Aufzeichnungen zu 153 Geräten und 5.407 Textnachrichten mit Spitzenwerten von rund 400 Nachrichten am Tag.

Bei diesem Akteur war die Rufumleitung bei 58 Prozent der betroffenen Nutzer aktiv, zudem wurden Einmalpasswörter von über einem Dutzend Banken erbeutet. Dabei wurden 149 dieser Geräte in einem einzigen Schub im Mai infiziert.

Die Betroffenen verwenden laut den Analysen zumeist Einsteiger-Android-Smartphones und SIM-Karten aller vier großen indischen Mobilfunkanbieter. Die Plattform selbst arbeitet mit zeitlich befristeten Lizenzen, deren verbleibende Dauer im Kontrollzentrum angezeigt wird. Für untergeordnete Zugriffsebenen stehen Sub-Admin-Panels bereit, und abgefangene Nachrichten lassen sich per Mausklick gesammelt löschen.

Wer sein Android-Smartphone täglich nutzt, sollte die Sicherheit seiner Daten nicht dem Zufall überlassen. In diesem kostenlosen Report erfahren Sie, wie Sie Sicherheitslücken schließen und Ihr Gerät durch die richtigen Updates effektiv vor Schadsoftware schützen. Kostenlosen Sicherheits-Report jetzt herunterladen

Empfohlene Gegenmaßnahmen und Verhaltensregeln

Zur Eindämmung der Bedrohung empfiehlt CloudSEK die Abschaltung der Infrastruktur über die Dienste Firebase, Cloudflare und Telegram. Zudem seien eine offizielle Warnmeldung der indischen Cybersicherheitsbehörde CERT-In sowie eine branchenweite Abkehr von SMS-basierten Einmalpasswörtern erforderlich.

Mobilfunknutzer sollten grundsätzlich keine Bankanwendungen über Links in Messenger-Diensten herunterladen. Um eine unbemerkte Rufumleitung zu überprüfen und zu deaktivieren, rät das Sicherheitsunternehmen zur Eingabe des Tastencodes ##21#. Verdachtsfälle auf Finanzbetrug können Betroffene über die Telefon-Hotline 1930 oder das nationale Portal zur Meldung von Cyberkriminalität einreichen.