Anatsa-Trojaner: Getarnter PDF-Reader im Play Store über 10.000-mal installiert

Im Google Play Store ist eine scheinbar harmlose Anwendung aufgetaucht, die zur Verbreitung des gefährlichen Banking-Trojaners Anatsa diente. Nach Erkenntnissen des Sicherheitsunternehmens Zscaler ThreatLabz verzeichnete das Schadprogramm vor seiner Entdeckung bereits mehr als 10.000 Installationen.

Hinter der getarnten PDF-Reader-Anwendung mit dem Paketnamen com.railforge.footplate.documentreader_pdfviewer stand ein Entwickler namens Duka Zuri. Wie viele Geräte letztlich tatsächlich mit der Schadsoftware infiziert wurden, ist bislang unbekannt. Google hat mittlerweile reagiert und die betreffende App aus dem hauseigenen Play Store entfernt.

Bereits am 9. Oktober war der entsprechende Eintrag auf der Plattform nicht mehr abrufbar. Zscaler ThreatLabz hatte den neu aufgetauchten Anatsa-Installer am 8. Oktober über einen Beitrag auf der Plattform X öffentlich gemacht und dabei zugehörige Prüfsummen sowie Adressen der Payload-Server geteilt.

Nachladen von Schadcode und Rechte-Missbrauch

Nach der Installation auf dem Smartphone entfaltet das Programm seine zerstörerische Wirkung nicht sofort. Zunächst prüft die Anwendung das Gerät daraufhin, ob es sich um ein spezifisches Modell oder eine Analyseumgebung wie einen Emulator handelt.

Trifft dies nicht zu und bleibt das System unverdächtig, zeigt die App vordergründig lediglich eine einfache Dateimanager-Funktion an. Im Hintergrund lädt sie jedoch den eigentlichen Schadcode von Servern der Täter nach.

Wer Banking-Apps oder Bezahldienste auf seinem Mobilgerät nutzt, sollte die Sicherheit seines Systems nicht dem Zufall überlassen. Dieser kostenlose Ratgeber zeigt Ihnen in fünf einfachen Schritten, wie Sie Ihr Android-Smartphone wirksam gegen Hacker und Viren absichern. 5 sofort umsetzbare Schutzmaßnahmen entdecken

Im Anschluss fordert der Trojaner weitreichende Berechtigungen für Bedienungshilfen an. Sobald diese Zugriffsrechte erteilt sind, liest die Schadsoftware eingehende SMS-Nachrichten mit und blendet täuschend echte, gefälschte Anmeldeseiten über legitimen Banking-Programmen ein. Auf diese Weise versuchen die Angreifer, Zugangsdaten und Transaktionsnummern der Nutzer abzufangen.

Laut Angaben von Zscaler nimmt der Banking-Trojaner mehr als 830 Finanzinstitute ins Visier. Eine vorangegangene Sicherheitsanalyse aus dem Jahr 2025 bezifferte die Zahl der weltweit betroffenen Ziele auf mehr als 831 Institute, wobei damals Deutschland, Südkorea und diverse Krypto-Plattformen neu zum Spektrum der Angreifer hinzukamen.

Da Cyberkriminelle ihre Methoden ständig verfeinern, ist ein aktuelles System die wichtigste Verteidigungslinie für jeden Smartphone-Besitzer. Erfahren Sie in diesem Gratis-Report, wie Sie Sicherheitslücken durch die richtigen Einstellungen dauerhaft schließen und Malware verhindern. Kostenlosen Sicherheits-Ratgeber herunterladen

Wiederkehrende Masche mit Fake-Readern

Die Taktik, Anatsa über nützlich wirkende Alltagshelfer zu verbreiten, ist nicht neu. Bereits im Jahr 2024 lief eine größere Angriffswelle des Trojaners, der auch unter dem Namen TeaBot bekannt ist. Damals nutzten die Kriminellen manipulierte PDF- und QR-Code-Reader als sogenannte Dropper. In jenen Fällen tarnten die Betreiber die nachgeladene zweite Stufe der Malware geschickt als scheinbar reguläres Software-Update.

Angesichts der anhaltenden Bedrohung durch getarnte Malware raten Verbraucherschützer zur Wachsamkeit. Die Verbraucherzentrale empfiehlt Smartphone-Nutzern generell, Programme ausschließlich aus offiziellen App-Stores zu beziehen und die von einer Anwendung eingeforderten Berechtigungen stets kritisch zu hinterfragen.