Cyberkriminelle nutzen gefälschte PDFs als App-Falle

Sicherheitsforscher warnen vor einer neuen Angriffsmethode, bei der manipulierte PDF-Rechnungen zur Installation von Schadsoftware auf Smartphones führen. Die Malware stiehlt Bankdaten und umgeht Zwei-Faktor-Authentifizierung.

Eine neue Betrugswelle nutzt manipulierte PDF-Dokumente, um Smartphone-Nutzer zur Installation von Schadsoftware zu verleiten. Sicherheitsforscher deckten kürzlich eine Kampagne auf, bei der bösartige Skripte als harmlose Rechnungen oder Bankdokumente getarnt werden. Die Angreifer kombinieren Social Engineering mit Malware, um an Bank- und Zugangsdaten zu gelangen.

Anzeige

Viele Android-Nutzer übersehen diese 5 Sicherheitsmaßnahmen, die ihr Gerät vor genau solchen manipulierten Dokumenten schützen könnten. Dieser Gratis-Ratgeber zeigt Ihnen mit einfachen Schritt-für-Schritt-Anleitungen, wie Sie WhatsApp, Banking & Co. effektiv vor Datendieben absichern. 5 sofort umsetzbare Schutzmaßnahmen entdecken

Vom PDF-Klick zur schädlichen App

Die Masche beginnt mit einer alltglich wirkenden Nachricht per E-Mail oder SMS. Das Opfer erhält eine angebliche Rechnung, Versandbestätigung oder Bankmitteilung mit PDF-Anhang. Das Dokument selbst ist oft harmlos, enthält aber einen Link oder eine Schaltfläche.

Dieser Link führt auf eine gefälschte Webseite, die bekannte Unternehmen imitiert. Dort wird der Nutzer unter einem Vorwand – etwa einer notwendigen Software-Aktualisierung – zum Download einer App aufgefordert. Getarnt als "PDF-Viewer" oder "Reader" installiert das Opfer so Banking-Trojaner wie Anatsa.

Was die Malware auf Ihrem Smartphone anrichtet

Einmal installiert, fordert die schädliche App weitreichende Berechtigungen an. Sie verlangt Zugriff auf SMS-Nachrichten, Kontakte und sogenannte Bedienungshilfen. Mit diesen Rechten agieren die Kriminellen im Hintergrund.

Die Malware zeichnet Tastatureingaben auf und greift so Passwörter ab. Besonders perfide: Sie legt gefälschte Eingabefenster über echte Banking-Apps. Gibt der Nutzer dort seine Daten ein, landen sie direkt bei den Angreifern. Durch SMS-Zugriff fangen sie auch Zwei-Faktor-Authentifizierungscodes ab und können so unbemerkt Überweisungen tätigen.

Anzeige

Da herkömmliche Software-Updates allein oft nicht ausreichen, um raffinierte Banking-Trojaner abzuwehren, bietet dieses kostenlose Sicherheitspaket weiterführende Checklisten für geprüfte Apps und automatische Prüfungen. Erfahren Sie in diesem kompakten Leitfaden, wie Sie eine häufig unterschätzte Sicherheitslücke auf Ihrem Smartphone schließen. Kostenlosen Sicherheits-Ratgeber herunterladen

Auch Unternehmen im Visier: Manipulierte Rechnungen

Die Betrugsmasche beschränkt sich nicht auf Privatpersonen. Eine zweite Methode zielt direkt auf den Geschäftsverkehr ab. Kriminelle hacken die E-Mail-Kommunikation zwischen Firmen, fangen Rechnungen ab und manipulieren die Bankverbindung (IBAN).

Die gefälschte PDF-Rechnung geht dann an den ursprünglichen Empfänger. Da der Rest des Dokuments stimmt und der Absender vertrauenswürdig erscheint, fällt der Betrug oft nicht sofort auf. Das Unternehmen überweist auf das Konto der Betrüger. Der Schaden wird meist erst bei der nächsten Mahnung des eigentlichen Rechnungsstellers klar.

Warum die Masche so erfolgreich ist

Der Trick nutzt das trügerische Gefühl der Sicherheit aus. Die meisten Nutzer halten PDF-Dateien für harmlose, statische Dokumente – im Gegensatz zu ausführbaren Dateien. Diese falsche Sicherheit verleitet zu unvorsichtigem Verhalten.

Besonders Android-Nutzer sind gefährdet, da sie Apps auch außerhalb des Google Play Stores installieren können. Doch selbst in offiziellen Stores tauchen regelmäßig schädliche Anwendungen auf, die Sicherheitsprüfungen umgehen. Die Professionalität der Angreifer zeigt sich darin, dass sie sogar robuste Sicherheitsmechanismen wie die Zwei-Faktor-Authentifizierung aushebeln.

So schützen Sie sich effektiv

Experten rechnen mit einer Zunahme solcher Angriffe. Künftige Kampagnen könnten sogar Künstliche Intelligenz nutzen, um Phishing-Nachrichten noch persönlicher zu gestalten. Diese Schutzmaßnahmen empfehlen Sicherheitsexperten:

• Gesunde Skepsis walten lassen: Seien Sie bei unaufgeforderten Nachrichten mit Anhängen und dringenden Handlungsaufforderungen extrem vorsichtig.
• Apps nur aus offiziellen Quellen: Installieren Sie Software ausschließlich aus den Stores von Google oder Apple. Deaktivieren Sie auf Android-Geräten "Installation aus unbekannten Quellen".
• Berechtigungen prüfen: Warum sollte ein PDF-Reader Zugriff auf Ihre SMS oder Kontakte brauchen? Verweigern Sie überzogene Forderungen.
• Bankdaten verifizieren: Unternehmen sollten jede Kontoverbindungsänderung telefonisch über einen bekannten Kanal bestätigen lassen.
• Software aktuell halten: Installieren Sie Betriebssystem- und App-Updates umgehend – sie schließen oft kritische Sicherheitslücken.