Android-Malware nutzt erstmals KI für Angriffe

Neue Android-Schadsoftware setzt erstmals generative KI für Persistenz ein, während ein Firmware-Backdoor die Lieferkette kompromittiert. Google reagiert mit verstärkten KI-gestützten Sicherheitsmaßnahmen.

PromptSpy markiert eine neue Ära der Cyberkriminalität: Erstmals setzt eine Android-Schadsoftware generative Künstliche Intelligenz ein, um sich auf infizierten Geräten zu halten. Die Entdeckung fällt mit weiteren schwerwiegenden Sicherheitsvorfällen zusammen und zeigt einen eskalierenden Wettlauf zwischen Angreifern und Verteidigern.

KI als Werkzeug der Angreifer: So arbeitet PromptSpy

Das neuartige Schadprogramm PromptSpy nutzt Googles eigene KI Gemini, um Bildschirminhalte zu interpretieren. Dadurch versteht es dynamisch, was der Nutzer gerade tut, und kann Gesten ausführen, um sich in der Liste der zuletzt geöffneten Apps zu halten. Diese raffinierte Persistenz-Technik ist ein beunruhigender Meilenstein.

Anzeige

Angesichts immer raffinierterer KI-Malware auf Android-Geräten übersehen viele Nutzer grundlegende Schutzmaßnahmen für ihre sensiblen Daten. Dieser Gratis-Ratgeber zeigt Ihnen, wie Sie WhatsApp, Banking und Co. effektiv vor modernen Datendieben schützen. 5 sofort umsetzbare Schutzmaßnahmen entdecken

Das Hauptziel der Malware ist die Installation eines VNC-Moduls (Virtual Network Computing). Dies verschafft Angreifern fernsteuerbaren Vollzugriff auf das kompromittierte Smartphone. PromptSpy kann den Sperrbildschirm ausspähen, den Bildschirm aufzeichnen und sich mit unsichtbaren Overlays vor der Deinstallation schützen. Die Malware, die bisher vor allem Nutzer in Argentinien traf, gelangte nicht über den offiziellen Play Store auf die Geräte. Code-Analysen deuten auf einen Ursprung in einem chinesischsprachigen Umfeld hin.

Supply-Chain angegriffen: Der Keenadu-Backdoor

Parallel enthüllten Forscher einen noch grundlegenderen Angriffsvektor: den Firmware-Backdoor Keenadu. Diese Schadsoftware war direkt in die Firmware zahlreicher Android-Tablets verschiedener Marken eingebettet – ein klarer Fall von Kompromittierung in der Lieferkette. Die Malware wurde wohl während des Herstellungs- oder Firmware-Erstellungsprozesses integriert, teils sogar über offizielle OTA-Updates (Over-the-Air) verbreitet.

Keenadu ermöglicht die komplette Fernsteuerung eines Geräts, dient aber primär Betrug mit Werbung. So werden Browser-Suchen manipuliert und App-Installationen monetarisiert. Besorgniserregend: Die Schadsoftware wurde auch über den Google Play Store verteilt, getarnt als Smart-Kamera-Apps. Diese betrügerischen Anwendungen wurden über 300.000 Mal heruntergeladen, bevor sie entfernt wurden. Keenadu steht in Verbindung mit anderen großen Botnetzen chinesischen Ursprungs wie Triada und BadBox.

Googles KI-Gegenwehr: Mehrschichtige Verteidigung

Als Reaktion auf die wachsende Bedrohungslage hat Google seine Sicherheitsanstrengungen verstärkt. In einem aktuellen Bericht betont der Konzern den verstärkten Einsatz von KI für defensive Zwecke. 2025 verhinderte Google die Veröffentlichung von über 1,75 Millionen policy-verletzenden Apps im Play Store und sperrte mehr als 80.000 Entwicklerkonten.

Die neuesten generativen KI-Modelle sind in den App-Review-Prozess integriert, um menschliche Prüfer bei der Identifizierung komplexer Schadmuster zu unterstützen. Google Play Protect, der eingebaute Malware-Schutz für Android, wurde ausgebaut und scannt nun täglich über 350 Milliarden Apps im gesamten Ökosystem. Der erweiterte Betrugsschutz blockierte 2025 zudem 266 Millionen riskante Installationsversuche aus Quellen außerhalb des Play Stores. Auch im kommenden Android 16 werden die Schutzmechanismen verstärkt.

Anzeige

Da herkömmliche Updates allein oft nicht mehr ausreichen, um komplexe Sicherheitslücken zu schließen, sind zusätzliche Vorkehrungen unerlässlich. In diesem kostenlosen Sicherheits-Leitfaden erfahren Sie, welche fünf Maßnahmen Ihr Smartphone jetzt spürbar sicherer machen. Kostenlosen Android-Sicherheits-Ratgeber herunterladen

Analyse: Der Wettlauf beschleunigt sich

Die gleichzeitige Entdeckung von KI-gestützter Malware und tief in der Lieferkette verankerten Bedrohungen zeigt einen eskalierenden Wettlauf. Angreifer nutzen nicht mehr nur statische Methoden, sondern beginnen, die gleiche fortschrittliche KI-Technologie einzusetzen wie die Verteidiger. Dies schafft eine dynamischere und herausforderndere Umgebung.

Der Fall Keenadu unterstreicht die gravierenden Schwachstellen in der globalen Hardware-Lieferkette – ein Bereich, der sich nur schwer überwachen lässt. Malware, die werkseitig vorinstalliert ist, umgeht alle App-Store-Kontrollen. Vor diesem Hintergrund ist Googles mehrschichtiger Ansatz aus KI-gestützten Reviews, On-Device-Scans und strengerer Entwicklerüberprüfung entscheidend.

Ausblick: KI wird zum zentralen Schlachtfeld

Der Einsatz generativer KI in Schadsoftware wird sich zweifellos ausbreiten und verfeinern. Während PromptSpy die KI noch für eine relativ einfache Aufgabe nutzt, könnten künftige Versionen damit überzeugende Phishing-Nachrichten generieren, Diebstahl von Zugangsdaten automatisieren oder dynamisch die Erkennung umgehen.

Die Industrie muss reagieren. Es ist zu erwarten, dass Google und andere Sicherheitsanbieter KI noch tiefer in den Kern der Android-Plattform integrieren werden. Künftige Sicherheitsupdates werden sich wohl auf Systemschutzmechanismen konzentrieren, die anomales Verhalten KI-gesteuerter Malware erkennen und neutralisieren können. Der Kampf um die Sicherheit des Android-Ökosystems wird immer mehr auf dem field der Künstlichen Intelligenz ausgetragen werden.