PDF Reader dringend löschen

Eine Android-App, die sich als PDF Reader ausgibt, dient als Einfallstor für den Banking-Trojaner Anatsa. Die Software stand im offiziellen Google Play Store und kam auf mehr als 10.000 Installationen. Wer sie auf dem Smartphone hat, riskiert, dass Kriminelle seine Zugangsdaten für das Online-Banking abgreifen.

PDF Reader lädt die Schadsoftware nach

Das Sicherheitsforschungsteam Zscaler ThreatLabz erklärte am Donnerstag via X, es habe einen weiteren neuen Anatsa-Installer entdeckt. Der PDF Reader trägt den Paketnamen com.railforge.footplate.documentreader_pdfviewer. Die Forschenden veröffentlichten dazu Prüfsummen der App und der Schadsoftware sowie die Adressen der Server, über die Kriminelle die Schadsoftware steuern.

Die App selbst ist nur der Köder. In einer Analyse vom August 2025 beschreibt ThreatLabz das Vorgehen hinter Anatsa. Die Lockvogel-App wirkt bei der Installation harmlos und lädt später von einem Server der Täter*innen die eigentliche Schadsoftware nach, getarnt als Update. So umgeht sie die Prüfmechanismen von Google Play.

Dabei prüft die App zunächst das Gerät. Erkennt sie einen Emulator oder ein unpassendes Gerätemodell, zeigt sie lediglich einen Dateimanager und bleibt unauffällig. Die Zahl von mehr als 10.000 Installationen beschreibt die Reichweite des PDF Readers. Wie viele Gerte tatsächlich infiziert wurden, ist nicht bekannt.

Gefälschte Login-Seiten legen sich über Banking-Apps

Nach der Installation verlangt Anatsa den Forschenden zufolge Rechte der Bedienungshilfen. Gewähren Nutzer*innen diese, schaltet sich die Schadsoftware weitere Berechtigungen selbst frei, darunter das Lesen von SMS und das Einblenden von Fenstern über anderen Apps.

Anschließend sucht der Trojaner auf dem Gerät nach Banking-Apps. Findet er eine, liefert der Server der Täter eine passende gefälschte Login-Seite. Sie erscheint über der echten App. Gibt jemand dort Zugangsdaten ein, landet die Person statt bei der Bank bei den Kriminellen.

Die beiden Payload-Server aus der aktuellen Warnung tauchen auch in der Konfiguration der Analyse von 2025 auf. Das spricht dafür, dass die Täter*innen ihre Infrastruktur weiter nutzen. Die damalige Variante nahm ThreatLabz zufolge mehr als 831 Finanzinstitute weltweit ins Visier. Neu dazugekommen waren Deutschland und Südkorea sowie verschiedene Krypto-Plattformen. Ob der aktuelle PDF Reader dieselbe Zielliste verwendet, geht aus der Warnung nicht hervor.

Topaktuell

Was Betroffene jetzt tun sollten

Der Store-Eintrag der App war am 9. Oktober nicht mehr abrufbar. Ob Google die App entfernt hat, ist nicht bestätigt. Eine bereits installierte App verschwindet dadurch nicht zwingend von deinem Gerät. Nutzt du einen PDF Reader, den du nicht bewusst ausgewählt hast, solltest du die App-Liste prüfen und verdächtige Apps deinstallieren.

Hast du der App Rechte für Bedienungshilfen erteilt, solltest du deine Bank kontaktieren und die Passwörter für das Online-Banking von einem sauberen Gerät aus ändern.

Google erklärt in der Play-Hilfe, dass Play Protect Apps beim Installieren und danach regelmäßig prüft und schädliche Apps meldet, deaktiviert oder entfernt Die Funktion ist standardmäßig aktiv und sollte es bleiben. Ob Play Protect diesen speziellen PDF Reader erkennt, ist nicht belegt.

Quellen: X/@Threatlabz; Zscaler; Google Play-Hilfe