Malware ersetzt Banking

Sicherheitsforscher haben eine neue Android-Malware mit dem Namen Hirudo aufgedeckt, die einen ungewöhnlichen und besonders tückischen Angriffsweg nutzt: Statt sich nur über eine Banking-App zu legen und Zugangsdaten per Phishing-Maske abzugreifen, deinstalliert Hirudo die echte Banking-App eines Opfers und ersetzt sie durch eine von den Angreifern manipulierte Kopie. Diese Kopie trägt denselben Namen und dieselbe Versionsnummer wie das Original, sodass Nutzer auf den ersten Blick keinen Unterschied bemerken. Das Sicherheitsunternehmen ThreatFabric veröffentlichte seine Analyse zu Hirudo am 14. Oktober 2026 und beschreibt damit, laut Berichten, eine neue Eskalationsstufe im mobilen Banking-Betrug.

Über die vergangenen Tage haben mehrere Fachmedien, darunter chip.de, über den Fund berichtet. Für Verbraucher in Deutschland und der DACH-Region ist der Fall relevant, weil er zeigt, in welche Richtung sich mobile Schadsoftware gegen Banking-Apps weiterentwickelt, auch wenn die bislang bekannten Zielregionen laut den verfügbaren Berichten noch nicht Deutschland umfassen. Dieser Artikel ordnet ein, was aktuell bestätigt ist, was noch offen bleibt und welche Konsequenzen sich daraus für Nutzer, Banken und App-Stores ergeben könnten.

·

Google · Bevorzugte Quellen

Verpasse keine neuen Tech-Storys auf Google

Füge Shattered einmal in der Google-App hinzu und unsere Artikel erscheinen in deinen Vorschlägen.

Jetzt hinzufügen

Hirudo: Neue Android-Malware tauscht Banking-Apps aus

Der Name Hirudo stammt aus der Analyse von ThreatFabric, einem auf mobile Bedrohungen spezialisierten niederländischen Sicherheitsunternehmen. Laut der veröffentlichten Untersuchung handelt es sich bei Hirudo um einen Android-Banking-Trojaner mit einer Funktion, die ihn von vielen bisher bekannten Schadprogrammen unterscheidet: Er kann eine auf dem Gerät installierte, legitime Banking-App vollständig deinstallieren und im selben Zug eine von den Angreifern präparierte Version installieren. Diese präparierte Version ist äußerlich kaum vom Original zu unterscheiden, da sie denselben App-Namen und dieselbe Versionsbezeichnung trägt wie die echte Anwendung.

Diese Vorgehensweise unterscheidet sich grundlegend von klassischen Overlay-Angriffen, bei denen Schadsoftware lediglich ein gefälschtes Eingabefenster über eine bereits laufende, echte App legt. Bei Hirudo existiert die Original-App nach der Infektion nicht mehr auf dem Gerät. An ihre Stelle tritt eine vollständig vom Angreifer kontrollierte Anwendung, die sich nach außen wie die vertraute Banking-App verhält, intern aber jede Eingabe an die Hintermänner weiterleitet. Für betroffene Nutzer bedeutet das: Das Icon, der Name und vermeintlich auch die Versionsnummer der App bleiben identisch, während die komplette Funktionslogik ausgetauscht wurde.

Nach aktuellem Kenntnisstand ist nicht öffentlich bestätigt, über welchen genauen technischen Mechanismus die Deinstallation und Neuinstallation im Hintergrund abläuft, welche Berechtigungen dafür notwendig sind oder wie viele Geräte insgesamt infiziert wurden. Diese Details hat ThreatFabric bislang nicht in öffentlich zugänglichen Zahlen beziffert, weshalb an dieser Stelle bewusst keine Schätzung genannt wird.

So funktioniert der App-Austausch im Detail

Der Reiz des Hirudo-Ansatzes liegt aus Angreifersicht darin, dass viele Schutzmechanismen moderner Banking-Apps genau dort ansetzen, wo eine fremde App versucht, sich über die eigentliche Anwendung zu legen oder sie zu imitieren. Signaturprüfungen, Zertifikatsvalidierung und Dienste wie Google Play Integrity sollen eigentlich verhindern, dass manipulierte oder gefälschte App-Versionen unbemerkt auf einem Gerät laufen. Laut den vorliegenden Berichten zielt Hirudo genau darauf ab, diese Prüfmechanismen durch den vollständigen Austausch der Anwendung zu umgehen, statt sie direkt anzugreifen.

Konkret bedeutet das: Sobald ein Gerät infiziert ist, entfernt die Malware die legitime Banking-App und installiert eine eigene, modifizierte Version, die Name und Versionsangabe des Originals übernimmt. Aus Sicht des Nutzers sieht alles unverändert aus, der App-Launcher zeigt weiterhin das bekannte Icon und den gewohnten Namen. Tatsächlich läuft im Hintergrund jedoch eine Anwendung, die von den Angreifern kontrolliert wird und deren einzige Aufgabe darin besteht, Zugangsdaten, PINs und weitere sensible Informationen abzugreifen und an die Infrastruktur der Angreifer zu übermitteln.

Diese Methode stellt für IT-Sicherheitsteams eine neue Herausforderung dar, weil klassische Erkennungsansätze, die nach parallel installierten, gefälschten Apps mit abweichendem Namen suchen, hier ins Leere laufen. Wenn die bösartige App exakt wie das Original benannt ist und scheinbar dieselbe Version trägt, müssen Erkennungssysteme stattdessen auf andere Merkmale ausweichen, etwa auf Signaturabweichungen, ungewöhnliche Berechtigungsanfragen oder Auffälligkeiten im Netzwerkverkehr.

Tarnung als Shopping- und Unterhaltungs-App

Der erste Infektionsschritt läuft nach bisherigen Erkenntnissen nicht über eine gefälschte Banking-App, sondern über scheinbar harmlose Anwendungen. Laut den Berichten tarnt sich Hirudo als Shopping-App, als Unterhaltungs-Anwendung oder als Kurzvideo-App, also als Kategorie, die auf vielen Android-Geräten ohnehin verbreitet ist und bei der Nutzer selten misstrauisch werden. Erst nach der Installation dieser Tarn-App beginnt der eigentliche Angriff, bei dem die Malware im Hintergrund aktiv wird und die auf dem Gerät installierten Banking-Apps identifiziert und austauscht.

Dieses zweistufige Vorgehen, also eine unauffällige Einstiegs-App gefolgt von einer gezielten Manipulation im Hintergrund, ist in der mobilen Bedrohungslandschaft kein neues Prinzip, wird hier aber mit der App-Austausch-Funktion kombiniert. Für Nutzer bedeutet das in der Praxis, dass die eigentliche Gefahr nicht von der App ausgeht, die offensichtlich mit dem eigenen Konto zu tun hat, sondern von einer völlig unverdächtigen App aus einem ganz anderen Bereich wie Shopping oder Kurzvideos.

Über welchen genauen Verbreitungsweg diese Tarn-Apps auf die Geräte der Opfer gelangen, etwa über offizielle App-Stores, Drittanbieter-Stores oder manipulierte Werbung, ist öffentlich nicht abschließend bestätigt. An dieser Stelle sollten Leser daher vorsichtig bleiben und nicht automatisch annehmen, dass ein bestimmter Vertriebskanal betroffen ist, solange keine verlässliche Quelle das explizit bestätigt.

Nach der Analyse von ThreatFabric zielt Hirudo auf ein breites Spektrum an sensiblen Informationen ab. Dazu zählen Banking-Passwörter, Zahlungs-PINs, Geräte-PINs, SMS-Nachrichten sowie Bildschirminhalte. Um an diese Daten zu gelangen, nutzt die Malware laut den Berichten gefälschte Login-Masken, gefälschte Sperrbildschirme und gefälschte Eingabeoberflächen für Zahlungs-PINs, die der Optik der echten Banking-App nachempfunden sind.

Besonders der Zugriff auf SMS-Nachrichten ist aus Sicherheitssicht brisant, da viele Banken in verschiedenen Märkten SMS-basierte Bestätigungscodes als zusätzlichen Faktor bei Transaktionen oder beim Login einsetzen. Kann eine Malware sowohl das Passwort als auch den per SMS zugestellten Code abgreifen, wird eine an sich sinnvolle Zwei-Faktor-Absicherung ausgehebelt. Das ist einer der Gründe, warum Sicherheitsexperten schon seit Jahren empfehlen, auf app-basierte oder hardwaregestützte Verfahren statt auf SMS-Codes zu setzen, ein Thema, das wir in unserem Vergleich zu Passkeys und klassischer Zwei-Faktor-Authentifizierung ausführlicher behandeln.

Auch der Zugriff auf Bildschirminhalte ist relevant, weil er es Angreifern erlaubt, Informationen zu erfassen, die normalerweise gar nicht über eine Eingabemaske laufen, etwa Kontostände, Transaktionsdetails oder Sicherheitshinweise, die während einer Banking-Sitzung angezeigt werden. In Kombination mit den gefälschten PIN- und Login-Masken entsteht so ein Werkzeugkasten, der weit über das klassische Abgreifen eines einzelnen Passworts hinausgeht.

ThreatFabric deckt Hirudo auf: Zeitplan der Enthüllung

ThreatFabric veröffentlichte seine Analyse zu Hirudo am 14. Oktober 2026. Innerhalb weniger Tage griffen zahlreiche internationale Medien das Thema auf, darunter auch deutschsprachige Portale wie ad-hoc-news.de und netzwelt.de. Die schnelle und breite Berichterstattung über mehrere Länder und Sprachräume hinweg deutet darauf hin, dass die Fachwelt die App-Austausch-Technik als bemerkenswerte Weiterentwicklung gegenüber bisherigen Android-Banking-Trojanern einstuft.

Als auf mobile Bedrohungen spezialisiertes Unternehmen beobachtet ThreatFabric seit Jahren die Entwicklung von Android-Malware-Familien und veröffentlicht regelmäßig technische Analysen, die anschließend auch von Banken und anderen Sicherheitsanbietern zur Aktualisierung eigener Erkennungssysteme genutzt werden. Die Veröffentlichung vom 14. Oktober folgt diesem etablierten Muster: Eine detaillierte technische Analyse wird öffentlich gemacht, sodass betroffene Branchen reagieren können, bevor sich die Angriffsmethode weiter verbreitet.

Unklar ist bislang, seit wann Hirudo tatsächlich aktiv ist, bevor die Analyse veröffentlicht wurde. Solche Trojaner werden in der Praxis oft über Wochen oder Monate entwickelt und in kleinerem Umfang getestet, bevor sie in größerem Stil eingesetzt werden. Zu diesem Punkt liegen jedoch keine bestätigten Angaben vor, weshalb hier bewusst keine Zeitspanne genannt wird.

Betroffene Länder und Banking-Apps im Überblick

Laut der ThreatFabric-Analyse wurden modifizierte Versionen von acht indonesischen Banking-Apps identifiziert. Das deutet darauf hin, dass Indonesien bislang der am intensivsten betroffene Einzelmarkt ist. Darüber hinaus berichten die Quellen, dass sich die Zielregionen von Hirudo auch auf Indonesien, China, Indien, Mexiko, Marokko und Thailand erstrecken. Die folgende Tabelle fasst zusammen, was zu diesem Zeitpunkt öffentlich bestätigt ist.

Wichtig ist die Einordnung, dass die genannten Länder auf Basis der bisher veröffentlichten Analyse die bekannten Zielregionen sind, eine geografische Ausweitung aber grundsätzlich nicht ausgeschlossen werden kann. Android-Banking-Trojaner werden häufig modular weiterentwickelt und an neue Märkte angepasst, sobald sich ein Geschäftsmodell für die Angreifer als profitabel erweist. Für Leser in Deutschland und der DACH-Region bedeutet das: Aktuell gibt es keine bestätigte direkte Bedrohung durch Hirudo, die Technik dahinter ist aber relevant genug, um sie im Blick zu behalten.

Einschätzung aus der Sicherheitsbranche

Eward Driehuis, Vice President Fraud Engineering bei ThreatFabric, ordnete die Bedeutung von Hirudo in einer von The Hacker News zitierten Aussage ein: „The operation combines credential theft, device takeover, screen and camera capture, and SMS theft, in combination with a fairly mature backend.“ Übersetzt beschreibt Driehuis damit eine Operation, die Zugangsdatendiebstahl, die vollständige Übernahme des Geräts, das Mitschneiden von Bildschirm- und Kamerainhalten sowie den Diebstahl von SMS-Nachrichten kombiniert, gestützt auf eine vergleichsweise ausgereifte Backend-Infrastruktur.

Diese Einschätzung ist insofern bemerkenswert, als sie Hirudo nicht als isoliertes Schadprogramm beschreibt, sondern als Teil einer größeren, offenbar professionell betriebenen Infrastruktur. Der Verweis auf ein „fairly mature backend“, also ein vergleichsweise ausgereiftes Hintergrundsystem, deutet darauf hin, dass hinter Hirudo kein einmaliges Experiment steht, sondern eine Gruppe, die bereits über Erfahrung mit der Verwaltung kompromittierter Geräte in großem Maßstab verfügt. Das passt zu dem Bild, das die geografische Streuung über sechs Länder hinweg bereits vermittelt: eine Operation, die auf mehrere Märkte gleichzeitig ausgelegt ist statt auf eine einzelne Region.

Weitere Details zu Täterstrukturen, etwa zur Herkunft der Gruppe oder zu möglichen Verbindungen zu bereits bekannten Cybercrime-Netzwerken, sind öffentlich nicht bestätigt. Auch hierzu sollten Leser vorsichtig mit Spekulationen umgehen, bis belastbare Zuordnungen vorliegen.

Historischer Kontext: Vom Overlay-Trick zum App-Austausch

Android-Banking-Trojaner sind kein neues Phänomen. Seit Jahren beobachten Sicherheitsforscher, wie sich die Techniken dieser Schadsoftware-Kategorie weiterentwickeln, meist als Reaktion auf verbesserte Schutzmechanismen auf Geräte- und App-Ebene. Die früheste und bis heute verbreitetste Technik ist der sogenannte Overlay-Angriff: Eine Malware erkennt, wann eine Banking-App im Vordergrund läuft, und legt in diesem Moment ein gefälschtes Eingabefenster über die echte Anwendung, um Zugangsdaten abzugreifen, während die eigentliche App im Hintergrund unverändert weiterläuft.

Als Antwort darauf haben Banken und Betriebssystemhersteller über die Jahre mehrere Schutzschichten eingeführt, etwa Zertifikatsprüfungen, Signaturvalidierung und Dienste wie Google Play Integrity, die prüfen sollen, ob eine App unverändert und aus einer vertrauenswürdigen Quelle stammt. Parallel dazu haben viele Banking-Apps begonnen, Bildschirmaufnahmen zu blockieren und verdächtige Overlay-Fenster aktiv zu erkennen. Diese Entwicklung lässt sich auch an der allgemeinen Bedrohungslage ablesen, die etwa das BSI in seinem jährlichen Lagebericht zur IT-Sicherheit beschreibt.

Hirudo lässt sich in diesem Kontext als eine Reaktion auf genau diese Schutzmaßnahmen lesen: Wenn ein Overlay über die echte App zunehmend erkannt und blockiert wird, verlagert sich der Angriff eine Stufe tiefer, nämlich auf die App selbst. Statt die echte Anwendung zu täuschen, wird sie schlicht ersetzt. Diese Verschiebung ist typisch für die Art, wie sich Malware-Kategorien über Jahre hinweg weiterentwickeln: Jede neue Verteidigungsmaßnahme verschiebt den Angriffspunkt, anstatt ihn vollständig zu eliminieren.

Technikvergleich: App-Replacement gegen klassische Overlay-Angriffe

Um die Tragweite von Hirudos Ansatz besser einordnen zu können, lohnt sich ein direkter Vergleich der grundlegenden Angriffstechniken, die in der Kategorie Android-Banking-Malware aktuell beobachtet werden. Die folgende Tabelle stellt die charakteristischen Merkmale gegenüber, basierend auf allgemein bekannten Funktionsprinzipien dieser Angriffskategorien.

Der entscheidende Unterschied liegt in der Beständigkeit des Angriffs. Ein Overlay muss exakt in dem Moment aktiv werden, in dem die echte App geöffnet wird, was technisch anspruchsvoll ist und von modernen Erkennungssystemen zunehmend aufgespürt wird. Ein ausgetauschtes App-Paket hingegen ist dauerhaft bösartig, unabhängig davon, wann oder wie oft die Anwendung geöffnet wird. Das macht die Erkennung für klassische, auf Verhaltensmuster zur Laufzeit fokussierte Schutzmechanismen deutlich schwerer.

Warum der Banking-App-Tausch so gefährlich ist

Aus Sicht der IT-Sicherheit verschiebt Hirudo die Verantwortung für die Erkennung eines Angriffs an eine Stelle, an der viele Nutzer am wenigsten aufmerksam sind: die eigene, vertraute Banking-App. Während Verbraucher inzwischen oft sensibilisiert sind, misstrauisch zu werden, wenn ein unbekanntes Fenster nach dem Passwort fragt, fällt es deutlich schwerer, misstrauisch zu werden gegenüber einer App, die genauso aussieht, genauso heißt und sich scheinbar genauso verhält wie die App, die man schon seit Jahren nutzt.

Hinzu kommt der laut ThreatFabric vorhandene Zugriff auf SMS-Nachrichten, Bildschirminhalte und offenbar auch Kamerafunktionen, wie die Einordnung von Driehuis nahelegt. Dadurch entsteht eine Angriffskette, die nicht an einem einzelnen gestohlenen Passwort endet, sondern potenziell den gesamten Zugriff auf ein Gerät und damit auf mehrere Konten und Dienste gleichzeitig ermöglicht. Für Banken bedeutet das, dass selbst mehrstufige Sicherheitsabfragen wirkungslos werden können, wenn ein Angreifer ohnehin die vollständige Kontrolle über das Gerät besitzt, auf dem diese Abfragen beantwortet werden.

Ein weiterer Aspekt betrifft das Vertrauen in App-Stores und App-Verzeichnisse generell. Wenn eine Malware in der Lage ist, eine App so zu ersetzen, dass Name und Version unverändert erscheinen, wird die reine Prüfung dieser Metadaten als Sicherheitsmerkmal entwertet. Nutzer und auch viele Unternehmens-IT-Abteilungen verlassen sich häufig genau auf solche sichtbaren Merkmale, um die Echtheit einer App einzuschätzen.

Marktauswirkungen für Banken und App Stores

Für Banken, die in den bislang betroffenen Ländern operieren, dürfte die Hirudo-Analyse Anlass sein, eigene App-Integritätsprüfungen zu überprüfen und gegebenenfalls zusätzliche Erkennungsmechanismen einzuführen, die über reine Namens- und Versionsprüfung hinausgehen. Das betrifft insbesondere Mechanismen, die zur Laufzeit prüfen, ob eine App tatsächlich mit einer gültigen, von der Bank selbst ausgestellten Signatur versehen ist, statt sich allein auf die am Gerät sichtbaren Metadaten zu verlassen.

Für App-Store-Betreiber wie Google wirft der Fall die Frage auf, wie Mechanismen wie Play Integrity robuster gegen Techniken gestaltet werden können, die gezielt auf eine Umgehung dieser Prüfungen ausgelegt sind. Da die betroffenen Tarn-Apps aus den Kategorien Shopping, Unterhaltung und Kurzvideo stammen, also Kategorien mit traditionell hohem Download-Volumen und entsprechend hohem Prüfungsaufwand, könnte der Fall auch Debatten über die Prüftiefe bei der App-Store-Zulassung neu anstoßen.

Mittelbar betrifft das auch Anbieter von mobilen Sicherheitslösungen und Endpoint-Schutz-Software, die ihre Erkennungsmechanismen nun um die Fähigkeit erweitern müssen, einen kompletten App-Austausch zu erkennen, statt nur nach parallel installierten, verdächtigen Zweit-Apps zu suchen. Dieses Muster einer sich ständig weiterentwickelnden Bedrohungslage zeigt sich auch in anderen Bereichen der IT-Sicherheit, etwa bei der Entwicklung von Ransomware-Gruppen, die ihre Taktiken ebenfalls fortlaufend an neue Schutzmaßnahmen anpassen.

Risiko für Deutschland und die DACH-Region

Nach den bislang vorliegenden Berichten zählen weder Deutschland noch Österreich oder die Schweiz zu den dokumentierten Zielregionen von Hirudo. Die bestätigten Zielländer sind Indonesien, China, Indien, Mexiko, Marokko und Thailand. Das bedeutet jedoch nicht, dass die zugrunde liegende Technik für deutsche Nutzer irrelevant ist. Android-Malware-Kampagnen werden in der Praxis häufig modular aufgebaut und regional angepasst, sodass eine erfolgreiche Technik aus einem Markt perspektivisch auch auf andere Märkte übertragen werden kann, sobald sich ein entsprechendes Geschäftsmodell als lohnend erweist.

Deutsche Verbraucher und Unternehmen sind grundsätzlich bereits mit einer wachsenden Zahl Android-basierter Angriffe konfrontiert, was sich auch in allgemeinen Statistiken zur Bedrohungslage zeigt. Die grundsätzliche Dynamik, dass Schadsoftware zunehmend versucht, etablierte Schutzmechanismen durch neue, kreativere Angriffswege zu umgehen, lässt sich unabhängig vom konkreten Hirudo-Fall beobachten und ist Teil eines größeren Trends, den auch Berichte zu Cyberangriffen in Deutschland regelmäßig dokumentieren.

Für deutsche Banken und Finanzdienstleister dürfte der Fall dennoch als Weckruf dienen, die eigenen App-Integritätsprüfungen präventiv zu überprüfen, statt erst zu reagieren, wenn eine vergleichbare Kampagne tatsächlich im eigenen Markt auftaucht. Gerade weil App-Replacement-Techniken wie die von Hirudo beschriebene prinzipiell plattformunabhängig funktionieren, ist eine rein reaktive Haltung riskant.

Schutzmaßnahmen: So schützen sich Nutzer

Auch ohne eine bestätigte direkte Bedrohung in Deutschland lassen sich aus dem Hirudo-Fall allgemeine Schutzempfehlungen ableiten, die unabhängig von der konkreten Malware-Familie sinnvoll sind. An erster Stelle steht die Zurückhaltung bei der Installation von Apps aus den Kategorien Shopping, Unterhaltung und Kurzvideo, die nicht aus den offiziellen, etablierten App-Stores stammen oder nur wenige, unklare Bewertungen aufweisen.

Banking-Apps regelmäßig öffnen und auf ungewöhnliches Verhalten prüfen, etwa unerwartete Berechtigungsanfragen oder veränderte Abläufe beim Login.

Android-Berechtigungen regelmäßig überprüfen und Apps, die ohne erkennbaren Grund weitreichende Zugriffsrechte wie Bedienungshilfen anfordern, kritisch hinterfragen.

Auf app-basierte oder hardwaregestützte Zwei-Faktor-Verfahren statt auf SMS-Codes setzen, wo die eigene Bank das anbietet.

Google Play Protect und vergleichbare Schutzfunktionen aktiv lassen und regelmäßig aktualisieren.

Bei Verdacht auf eine kompromittierte Banking-App umgehend die eigene Bank kontaktieren und das Gerät nicht für weitere Transaktionen nutzen.

Ein starkes, einzigartiges Passwort für das Banking-Konto allein reicht nicht aus, wenn das Gerät selbst kompromittiert ist, da Hirudo laut den Berichten auch Eingaben direkt auf dem Gerät abgreift. Wer grundsätzlich auf solide Passwort-Hygiene achten möchte, findet dazu Hintergründe in unserem Vergleich zu modernen Passwort-Hashing-Verfahren, auch wenn dieser Aspekt eher die Seite der Banken als die der Endnutzer betrifft.

Ausblick: Fünf Prognosen zur weiteren Entwicklung

Basierend auf der bisherigen Entwicklung von Android-Banking-Malware und den aktuell bekannten Fakten zu Hirudo lassen sich folgende Einschätzungen zur weiteren Entwicklung formulieren. Es handelt sich ausdrücklich um Einordnungen und keine bestätigten Fakten.

Weitere Länder könnten betroffen sein. Da Hirudo bereits über sechs Länder verteilt aktiv ist, erscheint eine schrittweise Ausweitung auf zusätzliche Märkte plausibel, sofern sich das zugrunde liegende Geschäftsmodell für die Angreifer als profitabel erweist.

Banken dürften Integritätsprüfungen verschärfen. Die App-Austausch-Technik macht es wahrscheinlich, dass Finanzinstitute zusätzliche, laufzeitbasierte Signaturprüfungen einführen, die über reine Namens- und Versionskontrolle hinausgehen.

App-Store-Betreiber könnten Prüfmechanismen anpassen. Dienste wie Google Play Integrity dürften im Zuge solcher Fälle technisch weiterentwickelt werden, um App-Austausch-Techniken gezielter zu erkennen.

Weitere Malware-Familien könnten die Technik übernehmen. Wenn sich der App-Replacement-Ansatz für die Hintermänner von Hirudo als wirksam erweist, ist eine Übernahme ähnlicher Techniken durch andere Banking-Trojaner-Gruppen wahrscheinlich.

Verstärkter Fokus auf Tarn-App-Kategorien. Shopping-, Unterhaltungs- und Kurzvideo-Apps dürften als Einfallstor stärker in den Fokus von Sicherheitsforschern und App-Store-Prüfteams rücken, da sie sich für diese Art der zweistufigen Infektion offenbar besonders eignen.

Was ThreatFabric als Sicherheitsunternehmen einordnet

ThreatFabric ist in der Sicherheitsbranche vor allem für seine Analysen zu mobilen Banking-Trojanern bekannt und wird regelmäßig von Medien und Finanzinstituten als Quelle für neue Bedrohungsanalysen herangezogen, wie auch die Berichterstattung von Portalen wie neoteo.com zeigt. Dass die Hirudo-Analyse binnen weniger Tage in mehreren Sprachräumen aufgegriffen wurde, unterstreicht, wie ernst die Branche die App-Austausch-Technik nimmt. Allgemeine Hintergründe zur Funktionsweise von Banking-Trojanern als Malware-Kategorie fasst auch eine Übersicht von CloudSEK zusammen, die den grundlegenden Unterschied zwischen reinem Überlagerungs-Phishing und tiefgreifenderer Geräteübernahme beschreibt.

Für Leser, die sich generell für den Umgang mit Datenlecks und Identitätsdiebstahl interessieren, bietet unser Grundlagenartikel zu Datenlecks: Wie sie entstehen und wie Sie sich schützen einen Einstieg, der auch auf Fälle wie Hirudo übertragbar ist, bei denen gestohlene Zugangsdaten potenziell weiterverkauft oder für Folgeangriffe genutzt werden könnten.

Häufig gestellte Fragen

Was ist Hirudo?

Hirudo ist eine von ThreatFabric analysierte Android-Malware, die legitime Banking-Apps deinstalliert und durch eine vom Angreifer manipulierte Version mit gleichem Namen und gleicher Versionsangabe ersetzt.

Wie verbreitet sich Hirudo?

Laut den Berichten tarnt sich Hirudo zunächst als Shopping-, Unterhaltungs- oder Kurzvideo-App und tauscht erst nach der Installation im Hintergrund die eigentliche Banking-App aus.

Welche Daten greift Hirudo ab?

Nach der ThreatFabric-Analyse zielt die Malware auf Banking-Passwörter, Zahlungs-PINs, Geräte-PINs, SMS-Nachrichten und Bildschirminhalte ab, unter anderem über gefälschte Login-, Sperrbildschirm- und PIN-Masken.

Ist Deutschland von Hirudo betroffen?

Nach den bislang vorliegenden Berichten zählen Deutschland, Österreich und die Schweiz nicht zu den dokumentierten Zielregionen. Bestätigt sind Indonesien, China, Indien, Mexiko, Marokko und Thailand.

Welche Banking-Apps sind konkret betroffen?

ThreatFabric hat nach eigenen Angaben modifizierte Versionen von acht indonesischen Banking-Apps identifiziert. Konkrete Namen dieser Apps sowie Details zu weiteren Ländern sind öffentlich nicht bestätigt.

Wie kann ich mein Android-Gerät schützen?

Empfehlenswert sind die Installation von Apps nur aus vertrauenswürdigen Quellen, regelmäßige Prüfung von App-Berechtigungen, aktivierter Geräteschutz wie Google Play Protect sowie der Umstieg von SMS-Codes auf app-basierte oder hardwaregestützte Zwei-Faktor-Verfahren, wo verfügbar.

Was unterscheidet Hirudo von klassischen Banking-Trojanern?

Während klassische Overlay-Trojaner ein gefälschtes Fenster über die echte App legen, tauscht Hirudo die App selbst komplett aus und behält dabei Name und Versionsangabe bei, was die Erkennung erschwert.