Mirax-Trojaner: Android-Malware stiehlt Bankpasswörter und löst Überweisungen aus

Das Cybersicherheitsunternehmen Group-IB hat am 5. November 2026 eine Untersuchung zu einer gefährlichen Schadsoftware-Kampagne namens Mirax veröffentlicht. Bei dem Schädling handelt es sich um einen Remote-Access-Trojaner für Android-Smartphones, der zum Zeitpunkt der Veröffentlichung noch aktiv war.

Die Malware ist in der Lage, Mobiltelefone vollständig unter ihre Kontrolle zu bringen, Bankpasswörter sowie Einmalpasswörter abzufangen und eigenständig betrügerische Überweisungen auszuführen.

Zwischen März und September 2026 haben sich bereits Tausende Android-Geräte von Retail-Bankkunden in der META-Region infiziert, zu der der Nahe Osten, die Türkei und Afrika gehören. Group-IB bestätigte finanzielle Verluste in Millionenhöhe.

Da die Sicherheitsforscher jedoch nur die für sie sichtbaren Infektionen und Betrugsfälle erfassen konnten, liegt das tatsächliche Schadensausmaß vermutlich höher, weil ungemeldete Fälle und Geräte außerhalb der Sichtweite der Analysten fehlen.

Besondere Aktivitätsspitzen verzeichnete die Kampagne Ende Juli sowie während der Eid-Feiertage. Iran steht derweil nicht auf der Liste der bestätigten Länder der Kampagne, dennoch wird die Angriffsmethode auch dort als ernste Warnung eingestuft.

Wer sich vor derartigen Bedrohungen für mobile Bankdaten schützen möchte, findet in diesem kostenlosen Ratgeber die wichtigsten Grundlagen zur Absicherung. 5 sofort umsetzbare Schutzmaßnahmen entdecken

Getarnte Installer und Zugriff auf Bedienungshilfen

Die Infektionskette beginnt üblicherweise mit schlecht bewerteten Streaming- und Video-Apps aus dem Google Play Store. Über darin ausgespielte Anzeigen und Videolinks werden die Nutzer zu externen Installationsprogrammen außerhalb des offiziellen Stores geleitet. Diese Dropper treten unter anderem als angebliche Anwendung namens TikTok 18+ auf.

Die schließlich nachgeladene Schadsoftware imitiert die Google Play Services und setzt dabei zur optischen Täuschung ein kyrillisches Zeichen im Namen ein. Nach der Installation erschleicht sich Mirax weitreichende Android-Accessibility-Rechte.

Über diese Bedienungshilfen kann der Trojaner den Bildschirminhalt mitlesen, Tastatureingaben protokollieren sowie Benachrichtigungen und SMS-Nachrichten abfangen. Dadurch erbeuten die Angreifer Sperrbildschirm-PINs, Entsperrmuster und Passwörter. Da die betrügerischen Transaktionen direkt vom echten Gerät der Opfer ausgehen, schlagen herkömmliche Sicherheitsmechanismen oft nicht an.

Banking, E-Mails, Fotos – auf keinem anderen Gerät speichern wir so viele sensible Daten wie auf dem Smartphone, was sie zum Hauptziel für Kriminelle macht. Erfahren Sie in diesem gratis PDF-Ratgeber, wie Sie Ihr Android-Gerät in wenigen Minuten gegen unbefugte Zugriffe absichern. Kostenlosen Sicherheits-Ratgeber herunterladen

Netzwerkstruktur und indische Finanzagenten

Antworten der Command-and-Control-Server zeigen laut der Analyse Zielkonfigurationen für über 20 regionale Banking- und Digital-Wallet-Apps sowie Krypto-Broker. Die Infektionen sind über interne Kampagnen-Tags namens aquafina und aquafina_all mit mehreren Steuerungs-Servern verknüpft.

Die Kommunikation läuft über zwei WebSocket-Kanäle mit einem HTTP-Long-Polling-Fallback, während DNS-over-HTTPS zur Verschleierung der Netzwerkauflösung eingesetzt wird. Als Ziel für die unberechtigt überwiesenen Gelder wurden indische Konten von Finanzagenten, sogenannten Money Mules, identifiziert.

Zur Abwehr solcher Angriffe empfiehlt Group-IB Anwendern, grundsätzlich keine unbekannten Streaming- oder Film-Apps zu installieren und die Vergabe von Accessibility-Rechten an Apps, die diese nicht zwingend benötigen, strikt zu verweigern. Zudem sollten Installationen aus unbekannten Quellen auf dem Betriebssystem eingeschränkt und die Schutzfunktion Google Play Protect dauerhaft aktiviert bleiben.