Android-Sicherheit: Millionen Geräte in Botnetzen und Rootkit-Angriffen

Sicherheitsforscher warnen vor komplexen Android-Bedrohungen wie dem NoVoice-Rootkit und dem Kimwolf-Botnetz, die Geräte übernehmen und für Cyberkriminalität nutzen.

Android-Geräte werden zu Werkzeugen für Cyberkriminelle – mit Folgen für Nutzer und Unternehmen weltweit.

Die globale Android-Sicherheitslage hat einen kritischen Wendepunkt erreicht. Sicherheitsforscher von McAfee und Check Point haben eine neue Angriffswelle identifiziert, die Millionen Geräte kompromittiert hat. Diese werden nun als Knoten für illegale Proxy-Netzwerke und großangelegten Finanzbetrug missbraucht. Die gefährlichste Entwicklung ist Operation NoVoice, ein hartnäckiges Rootkit, das selbst Werksresets überlebt.

Anzeige

Millionen Android-Nutzer nutzen täglich Online-Banking oder PayPal per Smartphone – ohne spezielle Schutzmaßnahmen ist das angesichts neuer Rootkits extrem gefährlich. Dieser kostenlose Ratgeber zeigt Ihnen, wie Sie Ihr Gerät mit 5 einfachen Schritten effektiv vor Hackern und Datenmissbrauch absichern. 5 sofort umsetzbare Schutzmaßnahmen entdecken

Operation NoVoice: Das unsichtbare Rootkit aus dem Play Store

Die Bedrohung namens Operation NoVoice umgeht die Sicherheitsprotokolle des Google Play Stores. Über 50 Apps – von Tools über Bildergalerien bis zu Spielen – waren infiziert. Bevor sie entfernt wurden, verzeichneten sie insgesamt mindestens 2,3 Millionen Downloads.

Die technische Komplexität von NoVoice ist außergewöhnlich. Die Malware nutzt eine Kette aus 22 verschiedenen Android-Schwachstellen, einige davon stammen aus dem Jahr 2016. So erlangt sie Root-Rechte und installiert einen Rootkit im System-Partition. Das Fatale: Selbst ein kompletter Werksreset des Smartphones entfernt die Schadsoftware nicht.

Ist NoVoice einmal installiert, haben Angreifer die totale Kontrolle. Die Malware überwacht jede geöffnete App und injiziert in Echtzeit schädlichen Code. So kann sie sensible Daten aus Banking-Apps, Social-Media-Konten und Messenger-Diensten abgreifen. Raffinierte Tarnmechanismen, wie die Erkennung von VPNs oder Debuggern, erschweren die Entdeckung.

Kimwolf-Botnetz: Das Geschäft mit gekaperten IP-Adressen

Parallel dazu wächst das Kimwolf-Botnetz weiter. Es hat bereits über 1,8 Millionen Android-Geräte infiziert, vor allem günstige Android-TV-Boxen und IoT-Geräte. Sein Ziel ist nicht primär Datendiebstahl, sondern die Hijacking der Hardware. Die Geräte werden zu Proxys für bösartigen Datenverkehr oder für DDoS-Angriffe umfunktioniert.

Kimwolf hat in den letzten Monaten mehr als 1,7 Milliarden DDoS-Befehle ausgespielt. Das Botnetz nutzt fortschrittliche Kommunikationsmethoden wie DNS over TLS und „EtherHiding“ über Blockchain-Domains, um Abschaltungen zu erschweren. Das Geschäftsmodell: Die Betreiber verkaufen die „sauberen“ privaten IP-Adressen der gekaperten Geräte als „Proxy-as-a-Service“ an andere Cyberkriminelle.

Anzeige

Da herkömmliche Sicherheits-Updates oft nicht ausreichen, um komplexe Malware-Angriffe abzuwehren, empfehlen IT-Experten zusätzliche Sicherheitsvorkehrungen für jedes Android-Gerät. In diesem gratis PDF-Report erfahren Sie, wie Sie WhatsApp, PayPal und Ihre Banking-Apps endlich wirklich sicher nutzen können. Kostenlosen Sicherheits-Ratgeber herunterladen

Dies stellt eine massive Bedrohung für Unternehmen dar. Verbindet sich ein infiziertes Gerät mit einem Firmen-WLAN, kann es als Brücke für Angreifer dienen, um sich lateral im Netzwerk auszubreiten. Experten sehen darin die neue bevorzugte Methode von staatlichen Akteuren und kriminellen Syndikaten, ihre Spuren zu verwischen.

Hardware-Schwachstellen: Gefahr durch MediaTek und Qualcomm

In den letzten Tagen wurden zudem kritische Hardware-Schwachstellen bekannt. Eine Lücke, CVE-2026-20435, betrifft Smartphones mit MediaTek-Chipsätzen. Ein Angreifer mit physischem Zugang kann damit den Sperrbildschirm umgehen und gespeicherte Daten in weniger als 60 Sekunden entschlüsseln.

Die Schwachstelle zielt auf die Trusted Execution Environment (TEE) ab, die eigentlich Verschlüsselungsschlüssel schützen soll. Schätzungen zufolge sind etwa 25 % aller aktuellen Android-Geräte – besonders preisgünstige Modelle – anfällig. Obwohl MediaTek einen Patch bereitgestellt hat, dauert es durch die fragmentierte Update-Landschaft bei Android oft Monate, bis Hersteller diesen ausrollen.

Gleichzeitig bestätigten die US-Cybersicherheitsbehörde CISA und Google die aktive Ausnutzung einer Qualcomm Zero-Day-Lücke (CVE-2026-21385). Dieser Speicherkorruptionsfehler im Grafik-Kernel kann zur vollständigen Übernahme des Geräts führen und wird vermutlich in gezielten Spionagekampagnen eingesetzt.

Notfall-Maßnahmen und Verbrauchertipps

Als Reaktion auf die eskalierende Bedrohung hat Google am 4. April 2026 ein Notfall-Update für Play Protect angekündigt. Das System sucht nun gezielt nach den Code-Signaturen des NoVoice-Rootkits und der Kimwolf-SDKs. Zudem hat Google begonnen, die identifizierten schädlichen Apps remote auf den Geräten der Nutzer zu deaktivieren.

Die aktuelle Angriffswelle offenbart ein systemisches Problem: Viele der im Kimwolf-Netzwerk gekaperten Geräte kamen bereits mit vorinstallierter Malware oder unsicheren Standardeinstellungen vom Hersteller. Internationale Regulierungsbehörden fordern deshalb strengere Sicherheitsstandards für importierte IoT- und Mobil-Hardware.

Experten empfehlen Nutzern und Unternehmen dringend diese Schritte:

• Hintergrund-Datenverkehr prüfen: Ungewöhnlich hoher Datentransfer im Hintergrund kann ein Indiz für Proxy-Hijacking sein.
• Sideloading deaktivieren: Apps sollten nur aus dem offiziellen Play Store installiert werden. Drittquellen und modifizierte APK-Dateien sind die Haupt-Verbreitungswege.
• Updates sofort installieren: Besonders die Patches für die MediaTek- und Qualcomm-Schwachstellen sind kritisch.
• Netzwerke segmentieren: In Unternehmen sollten mobile Geräte auf Gast-Netzwerken laufen, um bei einer Kompromittierung die laterale Ausbreitung im Firmennetz zu verhindern.

Ausblick: Das Zeitalter der autonomen Bedrohungen

Die Entwicklungen Anfang April 2026 markieren den Beginn des „Jahres der autonomen Bedrohungen“. Da Malware wie NoVoice resistent gegen Standard-Wiederherstellungsmethoden wird und Botnetze wie Kimwolf Millionen Knoten umfassen, ist das klassische „Erkennen und Löschen“ nicht mehr ausreichend.

Experten erwarten, dass die nächste Generation von Android-Malware zunehmend agentische KI integrieren wird, um Social Engineering und die Suche nach Schwachstellen zu automatisieren. Der Fokus der Cyberkriminellen verschiebt sich vom einfachen Datendiebstahl hin zur langfristigen Monetarisierung durch gekaperte Netzwerk-Ressourcen. Die Branche muss sich daher künftig stärker auf hardwaregestützte Integritätsprüfungen und internationale Strafverfolgung konzentrieren, um die Infrastruktur dieser Hijacking-Netzwerke zu zerschlagen.