Hirudo-Malware: Android-Schädling ersetzt Banking-Apps durch Fälschungen

Sicherheitsforscher des Unternehmens ThreatFabric haben eine neuartige Android-Banking-Malware namens Hirudo identifiziert. Die Schadsoftware zeichnet sich durch ein ungewöhnliches Vorgehen aus: Anstatt lediglich Phishing-Masken über bestehende Anwendungen zu legen, ersetzt der Schädling bereits auf dem Gerät installierte Banking-Apps vollständig durch manipulierte Installationsdateien. Nach der erfolgreichen Übernahme können Angreifer sensible Zugangsdaten abgreifen und das Smartphone aus der Ferne kontrollieren.

Verbreitung über scheinbar harmlose Anwendungen

Die Infektion der Android-Geräte erfolgt laut einem Bericht vom 30. Oktober 2026 über getarnte Anwendungen aus den Bereichen Online-Shopping, Unterhaltung sowie Kurzvideo-Plattformen.

Wurde eine solche Wirts-App auf dem Telefon eingerichtet, lädt die Schadsoftware ihre Hauptkomponenten über ein vorgetäuschtes Update nach. Dabei fordern die Angreifer weitreichende Zugriffsrechte für die Android-Bedienungshilfen ein, um sich tiefe Kontrollmöglichkeiten im Betriebssystem zu sichern.

Millionen Deutsche nutzen täglich Online-Banking per Smartphone – ohne diesen Schutz ist das gefährlich. Experten warnen: Wer diese 5 Maßnahmen nicht kennt, riskiert Datenverlust und finanzielle Schäden. 5 sofort umsetzbare Schutzmaßnahmen entdecken

Sobald diese Rechte erteilt sind, greift ein Hooking-Mechanismus, der zentrale Sicherheitsabfragen des mobilen Betriebssystems manipuliert. Hirudo fälscht dabei gezielt die Überprüfungen der offiziellen App-Signaturen, umgeht Einschränkungen bei den Bedienungshilfen und hebelt die Prüfmechanismen der Play-Integrity-Schnittstelle aus. Auf diesem Weg gelingt es den Angreifern, die legitimen Anwendungen unbemerkt durch präparierte APK-Pakete auszutauschen.

Weitreichende Überwachung und Fernzugriff

Das Funktionsspektrum von Hirudo beschränkt sich nicht auf das Abfangen einfacher Logins. Die Schadsoftware ist in der Lage, Passwörter, persönliche Zahlungs-PINs, eingehende SMS-Nachrichten sowie den laufenden Bildschirminhalt vollständig mitzuschneiden. Darüber hinaus eröffnet das Programm den Kriminellen die Möglichkeit, sowohl die Gerätekamera als auch das Mikrofon ohne Wissen der Betroffenen aus der Ferne anzusteuern und zu aktivieren.

Wer sich mit der Sicherheit seines Mobilgeräts befasst, sollte regelmäßige Updates nicht dem Zufall überlassen. Dieser kostenlose Ratgeber erklärt verständlich, wie automatische Updates und weitere einfache Schritte Ihr Android-Gerät rund um die Uhr vor Schadsoftware schützen. Kostenlosen Android-Sicherheits-Report herunterladen

Sicherheitsforscher warnen, dass diese Methoden weit über das übliche Maß herkömmlichen Datendiebstahls hinausgehen und sensible Finanzinformationen in erheblichem Umfang gefährden. Durch die Kombination aus manipulierten App-Kopien und weitreichenden Geräteberechtigungen entsteht ein hohes Schadenspotenzial für betroffene Nutzer.

Zielregionen und unklare Schadenslage

Die bisherigen Analysen von ThreatFabric konzentrieren sich vor allem auf Südostasien. Die Experten identifizierten bislang manipulierte Ersatzversionen für acht indonesische Banking-Apps, die zu sieben verschiedenen Geldinstituten gehören.

Allerdings deuten technische Spuren darauf hin, dass die Kampagne keineswegs auf diesen Markt beschränkt bleiben soll. Es liegen bereits konkrete Hinweise vor, wonach auch Finanz-Apps aus China, Indien, Mexiko, Marokko und Thailand ins Visier der Malware geraten sind.

Wie viele Mobilgeräte weltweit tatsächlich von Hirudo infiziert wurden, ist bislang unklar. Das genaue Ausmaß der laufenden Angriffe wird derzeit von Sicherheitsforschern weiter untersucht.