Android-Sicherheit: Gefälschte WhatsApp-App erreicht 500.000 Downloads

Sicherheitsanalysen und aktuelle Berichte decken gravierende Sicherheitslücken im Android-Ökosystem auf. Über eine halbe Million Nutzer installierten eine täuschend echte WhatsApp-Fälschung aus dem offiziellen Google Play Store.

Parallel dazu verbreitete ein manipulierter PDF-Reader einen gefährlichen Banking-Trojaner, während Sicherheitsexperten von Bitdefender und Zscaler ThreatLabz zudem auf werkseitig installierte Schadsoftware in den Betriebssystemen günstiger Geräte hinweisen.

WhatsApp-Klon erreichte Hunderttausende Downloads

Besonders schwer wiegt ein Fall im Google Play Store: Eine gefälschte WhatsApp-Anwendung erreichte dort rund 500.000 Downloads. Die App war seit September 2026 im Store verfügbar und übernahm Logo, Namen, Icons, Screenshots sowie Beschreibungen vom Original des Meta-Konzerns nahezu lückenlos. Der einzige sichtbare Unterschied lag beim Urheber: Als Entwicklerkonto war die Bezeichnung "Agment Assets sallu" anstelle von "WhatsApp LLC" hinterlegt.

In Suchergebnissen tauchte die Kopie zeitweise sogar als gesponsertes Ergebnis vor dem eigentlichen Messenger auf. Wie Android Authority anmerkte, waren Nutzerbewertungen wegen der Teilnahme am Early-Access-Programm von Google deaktiviert, weshalb Betroffene nicht vor dem Download gewarnt werden konnten; Google hat diesen Umstand allerdings nicht bestätigt.

Wer sich mit der Sicherheit seines Mobilgeräts befasst, sollte den Schutz vor manipulierten Apps nicht dem Zufall überlassen. Dieser kostenlose PDF-Ratgeber zeigt Ihnen 5 einfache Schritt-für-Schritt-Maßnahmen, um Ihr Smartphone effektiv vor Hackern und Viren abzusichern. 5 Schutzmaßnahmen für Android-Smartphones jetzt gratis entdecken

Der tatsächliche Zweck der Anwendung, etwa das Ausspielen von Werbung oder das Abgreifen sensibler Daten, blieb bis zu ihrer Löschung unklar. Google entfernte das Programm inzwischen aus dem Angebot. Laut Bitdefender enthalten derzeit tausende Early-Access-Apps mutmaßlich gefälschte Casinospiele sowie Belohnungs-Apps.

Banking-Trojaner Anatsa über PDF-Reader verteilt

Gleichzeitig nutzten Cyberkriminelle den Play Store zur Verbreitung von Banking-Trojanern. Die Anwendung "PDF Reader" des Entwicklers Duka Zuri mit dem Paketnamen com.railforge.footplate.documentreader_pdfviewer verzeichnete mehr als 10.000 Installationen. Wie Zscaler ThreatLabz mitteilte, diente das Programm als getarnter Installer für den Banking-Trojaner Anatsa. Zscaler ThreatLabz hatte am 8. Oktober einen neuen Anatsa-Installer gemeldet.

Die App verhielt sich nach der Installation zunächst unauffällig und überprüfte, ob es sich beim Zielgerät um einen Emulator oder ein echtes Smartphone handelte, bevor sie die eigentliche Schadsoftware über ein nachgelagertes Update bezog.

Am 9. Oktober war der Eintrag im Google Play Store nicht mehr abrufbar; eine offizielle Bestätigung für eine Entfernung durch Google liegt nicht vor. Die genaue Zahl der tatsächlich infizierten Geräte ist weiterhin unklar.

Ein veraltetes Betriebssystem ist oft das größte Einfallstor für Cyberkriminelle und gefährliche Banking-Trojaner. Erfahren Sie in diesem kostenlosen Report, wie Sie durch die richtigen Sicherheitsupdates Datenverlust und Malware dauerhaft verhindern. Kostenlosen Android-Update-Ratgeber herunterladen

Firmware-Malware Midnight Mimosa ab Werk aktiv

Neben manipulierten Apps bereitet vorinstallierte Schadsoftware in der Geräte-Firmware erhebliche Probleme. Berichten von PC-WELT zufolge betrifft dies auch Geräte in Deutschland. Im Zentrum steht die Schadsoftware "Midnight Mimosa", die von Bitdefender über rund zwei Jahre hinweg beobachtet wurde.

Am 19. Oktober veröffentlichte PolySwarm dazu einen weiterführenden Bericht. Die Schadsoftware fand sich auf tausenden günstigen Android-Geräten mit MediaTek-Plattform vor dem ersten Einschalten, verteilt über mehr als 150 Länder.

Die höchsten beobachteten Fallzahlen verzeichneten Mexiko, Frankreich und Italien, gefolgt von den USA, Deutschland, Brasilien und Spanien. Betroffen sind unter anderem günstige MediaTek-Modelle, gefälschte Flaggschiffe sowie Doogee- und Cubot-Kennungen.

Die Komponente com.android.system.lite tarnt sich als Teil des Betriebssystems und verfügt über weitreichende Privilegien. Sie kann Anwendungen installieren oder entfernen, Berechtigungen vergeben und Code aus der Ferne nachladen. Vor der Installation weiterer Schadroutinen schaltet sie den Google Play Store kurzzeitig ab, um Sicherheitsmechanismen von Play Protect zu umgehen.

Eine herkömmliche Deinstallation über die Benutzeroberfläche beseitigt die Malware nicht. Eine Bereinigung der Firmware oder ein Eingriff über die Android Debug Bridge ist für die Mehrheit der Endanwender laut Bitdefender kaum praktikabel.