Android-Malware GhostBat: 196.400 Rupien nach gefälschter Straf-SMS gestohlen
Veröffentlicht am: 17.10.2026 um 22:35 Uhr | Redaktion boerse-global.de
Das Sicherheitsunternehmen Cyble hat eine neue Android-Schadsoftware namens GhostBat RAT identifiziert. Die Schadsoftware verbreitet sich über betrügerische Kurznachrichten zu angeblich unbezahlten elektronischen Verkehrsstrafen, sogenannten E-Challans. Hauptziel der Angreifer ist das unbemerkte Abfangen von Einmalpasswörtern sowie persönlichen Identifikationsnummern für das indische Bezahlsystem Unified Payments Interface (UPI).
Verbreitung über gefälschte Behördenseiten
Die Verbreitung von GhostBat erfolgt über SMS-Nachrichten, die Links auf manipulierte Webseiten enthalten. Diese imitieren entweder das offizielle indische Verkehrsportal Parivahan oder erwecken den Anschein, legitime Downloadseiten im Stil des Google Play Store zu sein. Verbreitet wird darüber eine gefälschte Version der Behörden-App mParivahan, deren Installationsdateien teilweise auch über öffentliche Repositorien auf GitHub gehostet wurden.
Die Bedrohung hat bereits zu konkreten Schäden geführt. Am 13.10.2026 erstattete ein Mann bei der Cyber-Crime-Polizeistation im indischen Mangaluru Anzeige, nachdem er per WhatsApp über eine angebliche Strafe in Höhe von 1.000 Rupien für ein Zweirad benachrichtigt worden war.
Nach dem Herunterladen der App mParivahan über den mitgesendeten Installationslink wurden unmittelbar 1.96.400 Rupien von seiner Kreditkarte auf ein fremdes Konto transferiert.
Unsichtbare Überlagerung und Überwachung von 60 Apps
Sobald die Schadsoftware auf dem Gerät installiert ist, fordert sie weitreichende Berechtigungen für die Android-Bedienungshilfen an. Liegt diese Erlaubnis vor, nutzt GhostBat bei Zahlungsanwendungen wie Google Pay und MobiKwik ein transparentes Bildschirmraster. Diese unsichtbare Ebene besteht aus 12 Touch-Zonen und wird über die Anzeige der realen Zifferntastatur gelegt.
Jeder Tastendruck wird protokolliert und die PIN über die Komponente PinUploadWorker an den Endpunkt /pin-data der Infrastruktur api.cloudsettle[.]org übertragen. Gleichzeitig werden die Berührungen über die Bedienungshilfen-Schnittstelle an die echte Anwendung weitergeleitet, sodass der Bezahlvorgang für den Nutzer scheinbar störungsfrei abläuft.
Zusätzlich liest GhostBat Eingaben in 60 vordefinierten Anwendungen aus den Bereichen Banking, Wallets und Fintech standardmäßig aus. Dazu zählen unter anderem PhonePe, Paytm, BHIM, SBI UPI, Axis Pay, BharatPe, CRED, Groww, JioFinance, Freecharge und PayZapp. Nach Angaben der Analysten bezieht sich die Zahl 60 auf die im Schadcode hinterlegten Paket-IDs und stellt keinen Nachweis erfolgreicher Angriffe auf alle genannten Dienste dar.
Neben Eingaben greift die Software eingehende SMS, Einmalpasswörtern, Anrufprotokolle und SIM-Daten ab. Überdies ermöglicht die Schadsoftware das Einrichten von Rufumleitungen und das Versenden von SMS aus der Ferne.
Angesichts der zunehmenden Angriffe auf mobile Bezahlsysteme ist ein effektiver Basisschutz für das eigene Smartphone unverzichtbar. Dieser kostenlose Ratgeber zeigt Ihnen in fünf einfachen Schritten, wie Sie Ihr Android-Gerät zuverlässig gegen Hacker und Datenmissbrauch absichern. 5 Schutzmaßnahmen jetzt entdecken
Technische Infrastruktur und internationale Aktivitäten
Die Steuerung der Malware erfolgt über ein backendseitiges System. Sicherheitsforscher identifizierten eine ungeschützte Firebase-Datenbank mit der Bezeichnung ghostx-panel, die zu einer Operation GhostX gehört. Diese Datenbank enthielt Datensätze von Betroffenen, Administratorkonten, Login-Protokolle und Geräteprofile.
Über Firebase Remote Config und das Projekt andromeda-d389d können die Hintermänner Befehlsserver, Ziellisten und Module nachträglich modifizieren, ohne dass eine neue Installationsdatei auf den infizierten Geräten eingespielt werden muss.
Der Lader der Schadsoftware greift auf eine Bibliothek namens libnetbridge.so zurück und verwendet mehrstufige Schutzmechanismen, darunter eine RC4-ähnliche Transformation, AES-256-GCM, zlib-Kompression sowie MSZ1/MSP1-Container, während der eigentliche Schadcode in einer Datei namens split_config.dex.apk hinterlegt ist.
Konkrete Gesamtzahlen zu infizierten Systemen nannte Cyble in seinem Bericht vom 15.10.2026 nicht. Eine Nutzung des Systems als Malware-as-a-Service gilt laut den Forschern als möglich, ist jedoch nicht bestätigt.
IT-Experten raten dringend dazu, die Sicherheitseinstellungen von Android-Smartphones nicht dem Zufall zu überlassen, um WhatsApp, PayPal und Online-Banking geschützt zu nutzen. Erfahren Sie in diesem gratis PDF-Leitfaden, welche fünf Maßnahmen für jedes Gerät empfohlen werden. Kostenlosen Sicherheits-Ratgeber herunterladen
Das Täuschungsmuster gefälschter Bußgelder tritt auch international auf. Die italienische Cybersicherheitsbehörde CERT-AGID registrierte in der Woche vom 10. bis 16.10.2026 unter 254 analysierten bösartigen Kampagnen 55 Angriffe mit Bezug zu Bußgeldern. Diese versandten betrügerische E-Mails und SMS unter Verwendung von Logos der Plattformen SEND und PagoPA sowie der Polizia di Stato und des Automobilclubs ACI. GhostBat zählte in diesem Erfassungszeitraum zu den für Phishing im Bankenbereich eingesetzten Malware-Familien.
Cyble rät Betroffenen im Falle eines Schadens, umgehend die eigene Bank zu kontaktieren, die Notfall-Helpline 1930 zu verständigen und den Vorfall über das offizielle Portal cybercrime.gov.in zur Anzeige zu bringen.
