PDF Reader dringend löschen
Eine Android-App, die sich als PDF Reader ausgibt, dient als Einfallstor für den Banking-Trojaner Anatsa. Die Software stand im offiziellen Google Play Store und kam auf mehr als 10.000 Installationen. Wer sie auf dem Smartphone hat, riskiert, dass Kriminelle seine Zugangsdaten für das Online-Banking abgreifen.
PDF Reader lädt die Schadsoftware nach
Der Fall zeigt, wie Anatsa arbeitet. Das Sicherheitsforschungsteam Zscaler ThreatLabz erklärte am 8. Oktober via X es habe einen weiteren neuen Anatsa-Installer entdeckt. Der PDF Reader des Entwicklers Duka Zuri trägt den Paketnamen com.railforge.footplate.documentreader_pdfviewer. Die Forschenden veröffentlichten dazu Prüfsummen der App und der Schadsoftware sowie die Adressen der Server, über die Kriminelle die Schadsoftware steuern.
Die App selbst ist nur der Köder. In einer Analyse vom August 2025 beschreibt ThreatLabz das Vorgehen hinter Anatsa. Die Lockvogel-App wirkt bei der Installation harmlos und lädt später von einem Server der Täter*innen die eigentliche Schadsoftware nach, getarnt als Update. So umgeht sie die Prüfmechanismen von Google Play.
Dabei prüft die App zunächst das Gerät. Erkennt sie einen Emulator oder ein unpassendes Gerätemodell, zeigt sie lediglich einen Dateimanager und bleibt unauffällig. Die Zahl von mehr als 10.000 Installationen beschreibt die Reichweite des PDF Readers. Wie viele Geräte tatsächlich infiziert wurden, ist nicht bekannt.
Gefälschte Login-Seiten legen sich über Banking-Apps
Nach der Installation verlangt Anatsa den Forschenden zufolge Rechte der Bedienungshilfen. Gewähren Nutzer*innen diese, schaltet sich die Schadsoftware weitere Berechtigungen selbst frei, darunter das Lesen von SMS und das Einblenden von Fenstern über anderen Apps.
Anschließend sucht der Trojaner auf dem Gerät nach Banking-Apps. Findet er eine, liefert der Server der Täter eine passende gefälschte Login-Seite. Sie erscheint über der echten App. Gibt jemand dort Zugangsdaten ein, landet die Person statt bei der Bank bei den Kriminellen. Über das Lesen von SMS können Kriminelle zudem Bestätigungscodes abfangen.
Die beiden Payload-Server aus der aktuellen Warnung tauchen auch in der Konfiguration der Analyse von 2025 auf. Das spricht dafür, dass die Täter*innen ihre Infrastruktur weiter nutzen. Die damalige Variante nahm ThreatLabz zufolge mehr als 831 Finanzinstitute weltweit ins Visier. Neu dazugekommen waren Deutschland und Südkorea sowie verschiedene Krypto-Plattformen. Ob der aktuelle PDF Reader dieselbe Zielliste verwendet, geht aus der Warnung nicht hervor.
Topaktuell
Warum der Umweg über Google Play funktioniert
Anatsa ist kein neues Phänomen. Die Schadsoftware taucht seit Jahren immer wieder in Apps im Play Store auf. Typische Tarnungen sind PDF Reader, QR-Scanner und Office-Apps. Die österreichische Verbraucherplattform Watchlist Internet nennt als Warnsignal, dass eine App nach der Installation ein zusätzliches Modul nachladen will.
Android bremst solche Apps eigentlich aus. Seit Android 13 sperrt das System für Apps, die du als APK per Browser oder Messenger installierst, den Zugriff auf Bedienungshilfen („Eingeschränkte Einstellungen“). Apps aus einem App-Store sind laut Kaspersky davon ausgenommen. Genau deshalb ist ein Köder im Play Store für Kriminelle so wertvoll.
Was Betroffene jetzt tun sollten
Der Store-Eintrag der App war am 9. Oktober nicht mehr abrufbar. Ob Google die App entfernt hat, ist nicht bestätigt. Eine bereits installierte App verschwindet dadurch nicht zwingend von deinem Gerät. Nutzt du einen PDF Reader, den du nicht bewusst ausgewählt hast, solltest du die App-Liste prüfen und verdächtige Apps deinstallieren.
Prüfe außerdem die Bedienungshilfen in den Einstellungen deines Handys. Der Menüpunkt heißt je nach Hersteller etwas anders, meist unter „Bedienungshilfen“ und „Installierte Apps“ oder „Heruntergeladene Apps“. Steht dort eine App, die dort nichts zu suchen hat, entziehst du ihr die Berechtigung und deinstallierst sie.
Hast du der App Rechte für Bedienungshilfen erteilt, solltest du deine Bank kontaktieren und die Passwörter für das Online-Banking von einem sauberen Gerät aus ändern. Kontrolliere deine Umsätze auf unbekannte Überweisungen. Kommt es zu einer Abbuchung, erstatte Anzeige bei der Polizei. Bei einer bestätigten Infektion bleibt als sicherster Weg das Zurücksetzen des Smartphones auf die Werkseinstellungen.
Google erklärt in der Play-Hilfe, dass Play Protect Apps beim Installieren und danach regelmäßig prüft und schädliche Apps meldet, deaktiviert oder entfernt. Die Funktion ist standardmäßig aktiv und sollte es bleiben. Ob Play Protect diesen speziellen PDF Reader erkennt, ist nicht belegt. Eine zusätzliche Hürde bleibt deshalb dein eigener Blick auf die Berechtigungen. Ein PDF Reader braucht weder Zugriff auf Bedienungshilfen noch auf SMS.
Quellen: X/@Threatlabz; Zscaler; Kaspersky; Google Play-Hilfe