Hirudo-Trojaner: Android-Malware ersetzt Banking-Apps durch Kopien

Kriminelle Akteure passen ihre Methoden beim mobilen Online-Banking grundlegend an. Wie Sicherheitsforscher des Unternehmens ThreatFabric beobachten, verzichten Angreifer zunehmend auf herkömmliche Maschen mit SMS-Codes und setzen stattdessen auf verstärkten psychologischen Druck sowie hochentwickelte Schadsoftware.

Im Zentrum dieser Entwicklung steht der neu identifizierte Android-Banking-Trojaner Hirudo, der eine besonders aggressive Form der Gerätemanipulation nutzt.

Vollständiger Austausch legitimer Finanz-Apps

Die Schadsoftware tarnt sich nach Erkenntnissen von ThreatFabric als scheinbar harmlose Shopping-, Unterhaltungs- oder Kurzvideo-Anwendung. Zu den bekannten Träger-Apps gehören unter anderem Programme mit Bezeichnungen wie Shopora, 1V1 X, ZoyaTV und KoiShort. Nach der Installation fordern die Anwendungen unter dem Vorwand eines Updates weitreichende Zugriffsrechte an, insbesondere den Zugriff auf die Android-Bedienungshilfen.

Sobald diese Berechtigungen erteilt wurden, geht die Malware zu einem drastischen Schritt über: Sie entfernt die auf dem Gerät installierte Original-Banking-App und ersetzt sie durch eine modifizierte Kopie.

Um Sicherheitsprüfungen zu unterlaufen, setzt Hirudo auf Hooking-Frameworks wie YAHFA und Dobby. Damit fälscht der Trojaner Signaturzertifikate, verbirgt die im Hintergrund aktiven Bedienungshilfen-Dienste, schaltet den systemseitigen Screenshot-Schutz ab und leitet Anfragen der Sicherheitsfunktion Play Integrity direkt an von den Angreifern kontrollierte Server weiter.

Umfangreiche Spionage- und Fernsteuerungsfunktionen

Hirudo beschränkt sich nicht auf das bloße Abfangen von Daten, sondern kombiniert Eigenschaften klassischer Banking-Trojaner mit den Funktionen eines Remote-Access-Trojaners. Angreifer können Bankpasswörter, Zahlungs- und Geräte-PINs, SMS-Nachrichten sowie Bildschirminhalte abgreifen und auf Kamera sowie Mikrofon des Geräts zugreifen.

Zudem erlaubt die Schadsoftware die vollständige Fernsteuerung über die Bedienungshilfen. Gestohlene SMS-Codes werden nach Analysen der Forscher über einen Zeitraum von 90 Tagen hinweg abgefangen.

Angesichts solch aggressiver Trojaner, die sogar Banking-Apps unbemerkt austauschen können, ist ein Basis-Schutz für jedes Android-Gerät unverzichtbar. Dieser kostenlose Ratgeber zeigt Ihnen in fünf einfachen Schritten, wie Sie Ihr Smartphone effektiv gegen Hacker und Datenmissbrauch absichern. 5 sofort umsetzbare Schutzmaßnahmen entdecken

Die interne Registry der Schadsoftware umfasst insgesamt 42 Finanz-Apps. Bestätigte App-Ersetzungen betreffen bislang acht Banking-Apps von sieben Instituten in Indonesien. Darüber hinaus gibt es Hinweise auf Angriffe in weiteren Ländern, darunter China, Indien, Mexiko, Marokko und Thailand. Die genaue Gesamtzahl der Opfer ist zwar unbekannt, laut ThreatFabric dürften sich die Fälle jedoch im vierstelligen Bereich bewegen.

Gezielte Täuschung bei Bankanwendungen

In einem analysierten Fall nutzte Hirudo ein gefälschtes Bezahlfenster mit dem Branding des Finanzdienstleisters Maybank. Dieser manipulierte Bildschirm forderte in einer transparenten Android WebView zur PIN-Eingabe auf, unterstützte acht verschiedene Sprachen und übermittelte die eingegebenen Daten zusammen mit den Transaktionsdetails direkt an die Angreifer-Server, bevor eine gefälschte Erfolgsmeldung angezeigt wurde.

Allerdings gibt es nach Angaben der Forscher keinen bestätigten Hinweis darauf, dass die hauseigene MAE-App von Maybank selbst kompromittiert wurde oder dass Maybank-Kunden durch Hirudo finanzielle Verluste erlitten haben.

Wer Online-Banking und Apps wie WhatsApp oder PayPal nutzt, sollte die Risiken veralteter Systeme nicht unterschätzen. Erfahren Sie in diesem gratis Report, wie Sie durch die richtigen Updates und Sicherheitseinstellungen gefährliche Sicherheitslücken dauerhaft schließen. Kostenlosen Android-Sicherheits-Report herunterladen

Backend-Daten aus dem August 2026 enthielten jedoch Tausende Datensätze mit Zugangsdaten. Das Institut hatte bereits am 26. September 2026 mit der Versionsnummer 0.9.51 den integrierten Schutz vor Schadsoftware in seiner MAE-App erweitert.

Alarmsignale und Schutzmaßnahmen

Sicherheitsanalysten weisen auf mehrere Warnsignale hin, die auf eine Infektion hindeuten können. Dazu zählen unbekannte Apps auf dem Gerät, verdächtige Update-Aufforderungen, unerwartete Nachfragen nach Bedienungshilfen-Rechten oder eine plötzliche Neuinstallation der gewohnten Banking-App. Auch unbekannte Login-Meldungen, auffällige SMS-Aktivitäten oder Leistungseinbrüche des Smartphones können Anzeichen sein.

Zum Schutz vor derartigen Angriffen wird empfohlen, Anwendungen grundsätzlich nur aus offiziellen Plattformen zu beziehen und Google Play Protect aktiviert zu lassen. Zugriffsrechte für Bedienungshilfen sollten streng beschränkt und das Betriebssystem stets aktuell gehalten werden.

Zudem sollten Aktualisierungen von Banking-Apps ausschließlich über verifizierte Vertriebskanäle erfolgen und vertrauliche Daten keinesfalls auf ungeprüften Bildschirmen eingegeben werden.

Mehr zum Thema bei CHIP: „Neue Android-Malware ersetzt Banking-Apps durch manipulierte Version und greift Daten ab“