Android-Smartphones: Bitdefender entdeckt Schadsoftware ab Werk in Billiggeräten

Am 17. Oktober 2026 machten Sicherheitsexperten auf preiswerte Android-Smartphones aufmerksam, die bereits im Auslieferungszustand mit Schadsoftware infiziert sind, und sprachen Empfehlungen für Erkennungstools aus.

Zuvor hatte das Sicherheitsunternehmen Bitdefender am 8. Oktober 2026 eine umfassende Operation namens Midnight Mimosa offengelegt. Bei dieser Kampagne wurde Schadcode bereits vor dem Verkauf tief in der Firmware von Einsteigergeräten verankert.

Schadcode tief im System verankert

Nach Angaben von Bitdefender ist die Malware ab Werk aktiv und lässt sich nicht auf regulärem Weg entfernen. Da sie in der Systempartition abgelegt ist, übersteht sie auch das Zurücksetzen auf die Werkseinstellungen. Für eine Bereinigung ist eine spezielle Firmware-Wiederherstellung oder der Zugriff über die Android Debug Bridge (ADB) erforderlich.

Die Kampagne erstreckt sich nach bisherigen Analysen über mindestens zwei Jahre und betrifft Tausende Endgeräte in über 150 Ländern. Den größten Anteil verzeichnet Bitdefender mit rund 13 % der Fälle in Mexiko, gefolgt von Frankreich und Italien.

Die USA belegen mit 8 % den vierten Platz, auf Kanada entfallen 3 %. Infektionen wurden vor allem für die Jahre 2024 und 2025 nachgewiesen; für 2026 geht das Unternehmen von weiteren unentdeckten Fällen aus.

Millionen Android-Nutzer sind täglich Hackern schutzlos ausgeliefert – ohne es zu wissen. Wer sein Smartphone vor Schadsoftware und Sicherheitslücken schützen möchte, findet in diesem kostenlosen Report die entscheidenden Schritte. Android-Sicherheit erhöhen und Daten schützen

Betroffen sind laut Bitdefender überwiegend günstige Geräte mit Prozessoren von MediaTek. Dazu zählen einzelne Exemplare von Modellen wie Doogee S200 X und Cubot KINGKONG X, aber auch Nachbauten und Fälschungen von Geräten der Reihen Samsung Galaxy S24, S25 und S26 Ultra.

Zur Tarnung nutzen die Schädlinge System-App-Namen wie com.android.system.lite, com.android.sys.gmsprot, com.android.sys.bcprot und com.android.sys.prot, signiert mit einem Plattform-Zertifikat.

Werbebetrug und Sicherheitsrisiken

Durch die erweiterten Systemrechte kann die Malware eigenständig Anwendungen installieren oder entfernen, Berechtigungen erteilen und Remote-Code ausführen. Zudem können kompromittierte Geräte als Proxy-Relay oder Knotenpunkte in einem Botnetz fungieren.

Hauptziel der Akteure ist Bitdefender zufolge Werbebetrug über unsichtbare Fenster und simulierte Klicks; ein systematischer Diebstahl von Zugangsdaten zum Online-Banking wurde bislang nicht nachgewiesen.

Um Entdeckungen zu erschweren, deaktiviert die Schadsoftware kurz vor dem Nachladen weiterer Komponenten vorübergehend den Google Play Store, womit der Schutzmechanismus Play Protect umgangen wird.

Ein Teil der manipulierten Firmware ist mit Signaturzertifikaten des Zwischenhändlers Shenzhen Zediel verknüpft. Laut Bitdefender stellt dies jedoch keinen Beweis für eine Täterschaft des Akteurs dar, da die genaue Phase der Einschleusung innerhalb der Lieferkette unklar bleibt.

Wer sich mit der Sicherheit seines Mobilgeräts befasst, sollte die grundlegenden Schutzmaßnahmen gegen Hacker und Viren kennen. Dieser gratis PDF-Ratgeber zeigt 5 einfache Schritte, die jeder Android-Nutzer sofort umsetzen kann. Kostenlosen Sicherheits-Ratgeber jetzt herunterladen

Aus dem Google Play Store wurden inzwischen 13 Apps entfernt, die dieselbe Infrastruktur für Befehlsserver nutzten. Bitdefender verwies in diesem Zusammenhang auf frühere Bedrohungen wie das BADBOX-2.0-Botnetz mit mehr als einer Million Geräten sowie einen Manipulationsfall aus dem Jahr 2016 bei Ragentek-Firmware.

Gefahrenlage und Handlungsempfehlungen

Die Bedrohungslage im mobilen Bereich beschränkt sich nicht auf Firmware-Angriffe. Das Analysehaus ThreatFabric berichtete kürzlich über die Android-Malware Hirudo, die gefälschte Kopien von acht Banking-Apps einsetzt, um über Bedienungshilfen-Rechte Zugangsdaten und SMS abzufangen. Zudem richtet sich die Malware GhostBat in Indien gezielt gegen rund 60 Banking- und Zahlungs-Apps.

Sicherheitsexperten von Bitdefender raten dazu, Mobilgeräte ausschließlich über verlässliche Händler zu beziehen und die Echtheit der Hard- und Firmware zu prüfen, da gefälschte Geräte in der Regel keine offiziellen Sicherheitsupdates erhalten.

Zur Aufklärung veranstalten die Verbraucherzentrale Rheinland-Pfalz und das Landeskriminalamt am 28. Oktober 2026 um 16:00 Uhr ein kostenloses 90-minütiges Web-Seminar zu Schutzmaßnahmen und der Erkennung von Cyberangriffen; Anmeldungen sind über verbraucherzentrale-rlp.de/webseminare-rlp möglich.