PDF Reader im Play Store: Trojaner Anatsa stiehlt Bankzugangsdaten
Veröffentlicht am: 30.10.2026 um 08:15 Uhr | Redaktion boerse-global.de
Sicherheitsexperten warnen vor einer Betrugsmasche, bei der scheinbar harmlose Dokumenten-Programme als Einfallstor für Schadsoftware dienen. Vermeintlich nützliche PDF-Anwendungen fungieren dabei als Trojaner und fangen über manipulierte Eingabemasken sensible Bankzugangsdaten ab. Bereits wenige unbedachte Klicks können ausreichen, damit Kriminelle die vollständige Kontrolle über Online-Konten erlangen und unberechtigte Abbuchungen vornehmen.
Schadcode umgeht Sicherheitsprüfungen im App-Store
Im Zentrum der Warnungen steht die Android-Anwendung „PDF Reader“ des Entwicklers Duka Zuri mit dem Paketnamen com.railforge.footplate.documentreader_pdfviewer. Die Software war im offiziellen Google Play Store verfügbar und verzeichnete nach Angaben von Zscaler ThreatLabz mehr als 10.000 Installationen, bevor sie nicht mehr auffindbar war. Wie viele Geräte letztlich tatsächlich infiziert wurden, ist unklar.
Sicherheitsanalysten von Zscaler ThreatLabz hatten am 8. Oktober 2026 über die Plattform X auf das neu aufgetauchte Installationsprogramm des bekannten Banking-Trojaners Anatsa hingewiesen. Am 9. Oktober 2026 war der Store-Eintrag der fraglichen App schließlich nicht mehr erreichbar, wenngleich eine offizielle Bestätigung über eine Löschung durch Google ausblieb.
Die Masche basiert auf gezielter Täuschung: Auf dem Smartphone verhält sich das Programm zunächst wie ein gewöhnlicher PDF-Betrachter. Befindet sich die App in einer virtuellen Testumgebung oder auf Prüfgeräten, verbirgt sie ihre schädlichen Funktionen vollständig.
Auf diese Weise passierte die Software die Kontrollmechanismen des Play Stores. Erst nach der regulären Installation auf echten Endgeräten lädt das Programm die eigentliche Schadsoftware getarnt als Aktualisierung von einem externen Server der Angreifer nach.
Manipulation über erweiterte Bedienungshilfen
Der nachgeladene Trojaner Anatsa, der auch unter der Bezeichnung TeaBot geführt wird, fordert vom Nutzer weitreichende Zugriffsrechte für die Bedienungshilfen des Betriebssystems ein. Werden diese gewährt, schaltet die Schadsoftware eigenständig zusätzliche Befugnisse frei – darunter das Auslesen von Kurzmitteilungen.
Millionen Deutsche nutzen täglich Online-Banking per Smartphone – ohne diesen Schutz ist das gefährlich. Experten warnen: Wer diese 5 Maßnahmen nicht kennt, riskiert Datenverlust und finanzielle Schäden. 5 sofort umsetzbare Schutzmaßnahmen entdecken
Sobald Nutzer eine reguläre Banking-Anwendung öffnen, legt Anatsa täuschend echte, gefälschte Anmeldemasken über das Original. Eingegebene Zugangsdaten sowie per SMS übermittelte Bestätigungscodes fließen dadurch direkt an die Kriminellen ab.
Zwar schließt Android seit der Version 13 per manuellem Paket-Download (APK) installierte Programme standardmäßig von den sensiblen Bedienungshilfen aus. Laut Kaspersky gilt diese Einschränkung jedoch nicht für Anwendungen, die direkt aus regulären App-Stores bezogen wurden.
Der Schädling Anatsa wird bereits seit mindestens 2020 beobachtet. Während eine frühere Welle mehr als 650 Finanzinstitute attackierte, visieren neuere Ausführungen mehr als 800 bis 830 Ziele an, darunter Banken in Deutschland und Südkorea sowie Krypto-Plattformen.
Eine Auswertung aus dem Jahr 2025 bezifferte die Zielliste einer früheren Variante sogar auf mehr als 831 Finanzinstitute weltweit. Ob die aktuelle App dieselben Adressaten nutzte, ist nicht bestätigt.
Parallel dazu meldete das Sicherheitsunternehmen ThreatFabric eine weitere Malware namens Hirudo. Diese tarnt sich als Shopping-, Unterhaltungs- oder Video-App, fordert ebenfalls Rechte für die Bedienungshilfen an und ersetzt echte Bank-Apps durch manipulierte Kopien. Bislang wurden Nachbauten von acht Banking-Anwendungen registriert.
Wer sein Android-Smartphone in wenigen Minuten gegen Hacker absichern möchte, findet in diesem kostenlosen PDF-Ratgeber 5 einfache Schritte, die jeder sofort umsetzen kann. Gratis Sicherheits-Ratgeber jetzt herunterladen
Hirudo zielt auf Passwörter, PINs sowie Bildschirminhalte ab und umgeht Sicherheitskontrollen über spezielle Eingriffe ins System. Erste Fälle betrafen Banken in Indonesien, Hinweise deuten zudem auf Angriffe in China, Indien, Mexiko, Marokko und Thailand hin, wobei die Opferzahl nach vorliegenden Berichten in die Tausende geht.
Sofortmaßnahmen für betroffene Nutzer
Bei Verdacht auf eine Infektion sollten betroffene Anwendungen unverzüglich deinstalliert und Sicherheitsprüfungen über Play Protect veranlasst werden. Zudem empfiehlt sich eine Überprüfung der erteilten Systemberechtigungen. Betroffene sollten ihre Zugangsdaten ausschließlich über ein anderes, sicheres Endgerät ändern, die Bank kontaktieren und das TAN-Verfahren sperren lassen.
Das Online-Banking lässt sich in Deutschland über den Sperr-Notruf 116116 blockieren. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) rät im Verdachtsfall dazu, kürzlich installierte Apps zu entfernen, Virenprüfungen durchzuführen und das Gerät bei anhaltenden Problemen auf die Werkseinstellungen zurückzusetzen.
