Android-Malware: Millionen Downloads über Facebook-Werbung
Veröffentlicht am: 05.08.2026 um 05:13 Uhr | Redaktion boerse-global.de
In einer aktuellen Sicherheitsanalyse wurde die Verbreitung einer neuen Android-Malware identifiziert, die gezielt über Werbeanzeigen auf der Social-Media-Plattform Facebook ausgespielt wird. Berichten zufolge erreichten die infizierten Anwendungen bereits eine Reichweite von mehreren Millionen Downloads. Die Kampagne zeichnet sich durch eine hohe technische Komplexität und die Nutzung verschiedener Verschleierungstaktiken aus.
Loader-as-a-Service DOUBLECUP im Fokus
Hinter der großangelegten Verteilung der Schadsoftware steht nach Analysen des Sicherheitsunternehmens SOCRadar ein russisches Loader-as-a-Service-Modell (LaaS) namens DOUBLECUP. Diese Infrastruktur ist bereits seit Juni 2026 aktiv und dient als Distributionsplattform für verschiedene Schadprogramme. Die Akteure nutzen dabei ein offenes Verzeichnis unter der IP-Adresse 213.139.77.109:9090 sowie den Telegram-Bot @harrypoterlohBOT zur Steuerung und Kommunikation. Als verantwortlicher Akteur hinter diesen Aktivitäten wurde ein Profil mit dem Pseudonym johnnysilverhe identifiziert.
Die Kampagnen von DOUBLECUP imitieren gezielt bekannte Unternehmenssoftware und Cloud-Dienste, um Vertrauen bei den Opfern zu wecken. Zu den nachgeahmten Marken gehören unter anderem NetSuite, Odoo, HubSpot und Salesforce. Nutzer, die über Facebook-Werbeanzeigen auf manipulierte Seiten geleitet werden, laden vermeintlich legitime Geschäftsapplikationen herunter, erhalten stattdessen jedoch schädliche Payloads.
Komplexe Infektionswege und EtherHiding
Die technische Umsetzung der Infektion basiert auf sogenannten ClickFix-Ködern. Dabei werden Nutzer dazu verleitet, vermeintliche Fehler in ihrem Browser durch das Ausführen von Skripten zu beheben. Eine Besonderheit der DOUBLECUP-Infrastruktur ist die Nutzung von PNG-Bildern im Browser-Cache, in denen die Malware versteckt wird, um herkömmliche Sicherheitsmechanismen zu umgehen.
Zudem setzen die Hintermänner auf eine Methode namens EtherHiding. Hierbei werden Smart Contracts auf den Blockchains von Ethereum und Polygon genutzt, um die Adressen der Command-and-Control-Server (C2) zu verbergen. Durch diese dezentrale Speicherung der Steuerungsdaten wird es für Sicherheitsbehörden und IT-Dienstleister deutlich schwieriger, die Infrastruktur der Angreifer dauerhaft abzuschalten.
Wer sich vor solchen komplexen Infektionswegen schützen möchte, findet in diesem kostenlosen Ratgeber die wichtigsten Grundlagen zur Absicherung seines Mobilgeräts. Erfahren Sie in fünf einfachen Schritten, wie Sie Ihr Android-Smartphone effektiv gegen Hacker und Viren wappnen. 5 sofort umsetzbare Schutzmaßnahmen entdecken
Mehrstufige Schadsoftware und Persistenzmechanismen
Über den DOUBLECUP-Loader werden verschiedene Payloads verteilt. Dazu gehören der CountLoader in der Version 4.5p, der sowohl Windows- als auch macOS-Systeme ins Visier nimmt, sowie der Remote Access Trojaner (RAT) DeviceManager. Letzterer dient der Fernsteuerung infizierter Geräte und kommuniziert laut SOCRadar über die C2-Adresse 91.92.240[.]100.
Die Malware ist darauf ausgelegt, dauerhaft auf den Zielsystemen aktiv zu bleiben. Zur Sicherung dieser Persistenz nutzt die Software verschiedene Systemfunktionen. Unter Windows kommen geplante Aufgaben (Scheduled Tasks) und die Windows Management Instrumentation (WMI) zum Einsatz, während auf macOS-Systemen sogenannte LaunchAgents verwendet werden, um den automatischen Start der Schadprogramme bei jeder Systemanmeldung zu gewährleisten. Zur Entschlüsselung der bösartigen Komponenten wird ein SHA-256-Algorithmus in Verbindung mit einem IP-basierten Schlüssel verwendet, was die Analyse der Software zusätzlich erschwert.
Da Kriminelle immer neue Wege finden, um Schadsoftware unbemerkt auf Geräten zu installieren, wird die richtige Update-Strategie zum entscheidenden Sicherheitsfaktor. Dieser Gratis-Report zeigt Ihnen, wie Sie Sicherheitslücken schließen und Malware dauerhaft verhindern. Kostenlosen Android-Update-Ratgeber herunterladen
Sicherheitsexperten raten angesichts der Millionen von Downloads zur erhöhten Vorsicht bei Werbeanzeigen in sozialen Netzwerken, insbesondere wenn diese zum Download von Unternehmenssoftware auffordern. Die Identifizierung der Kampagne Anfang August 2026 verdeutlicht die anhaltende Gefahr durch professionell organisierte LaaS-Strukturen, die moderne Web-Technologien und Blockchain-Infrastrukturen für kriminelle Zwecke missbrauchen.
