Eine vermeintlich gewöhnliche PDF-App für Android steht unter Verdacht, Schadsoftware auf Smartphones einzuschleusen und sensible Bankdaten abzugreifen. Sicherheitsforscher von Zscaler ThreatLabz warnen vor der Anwendung „PDF Reader“ des Entwicklers Duka Zuri, die den Banking-Trojaner Anatsa nachladen soll. Nach den vorliegenden Angaben wurde die App mehr als 10.000-mal über den Google Play Store installiert. Google hat die Anwendung inzwischen aus seinem offiziellen App-Marktplatz entfernt, die monrose.de berichtet mit netzwelt.de.
Für Nutzer, die den PDF-Reader bereits heruntergeladen haben, ist damit allerdings nicht automatisch Entwarnung gegeben. Die Entfernung aus dem Store deinstalliert die App nicht auf bereits betroffenen Geräten. Wer die Anwendung auf seinem Smartphone findet, sollte sie entfernen, das Gerät auf Schadsoftware prüfen und bei einem möglichen Zugriff auf das Online-Banking unverzüglich die eigene Bank kontaktieren.
Gefährliche Android-App tarnt sich als PDF-Reader
PDF-Dateien gehören zum Alltag auf Smartphones. Rechnungen, Verträge, Buchungsbestätigungen und andere Dokumente werden häufig direkt auf dem Handy geöffnet. Genau deshalb wirken Anwendungen zum Anzeigen solcher Dateien auf den ersten Blick unauffällig und können leicht das Vertrauen der Nutzer gewinnen.
Die von Zscaler ThreatLabz untersuchte App trägt den Namen „PDF Reader“ und wird dem Entwickler Duka Zuri zugeordnet. Nach Angaben der Sicherheitsforscher dient sie als Tarnung für den Banking-Trojaner Anatsa, der darauf ausgelegt ist, sensible Informationen zu stehlen und den Zugriff auf Finanzkonten anzugreifen.
Die Gefahr besteht nicht nur darin, dass eine Anwendung unerwünschte Werbung einblendet oder persönliche Nutzungsdaten sammelt. Banking-Trojaner können gezielt versuchen, Zugangsdaten abzufangen, Anmeldemasken zu manipulieren und dadurch den Zugriff auf das Online-Banking zu ermöglichen.
Eine App muss nicht offensichtlich verdächtig aussehen, um gefährlich zu sein. Auch ein schlichtes Programm zum Öffnen von Dokumenten kann missbraucht werden. Entscheidend sind die tatsächlichen Funktionen und Berechtigungen, die eine Anwendung auf dem Gerät erhält.
Laut den vorliegenden Angaben wurde der betreffende PDF-Reader mehr als 10.000-mal installiert. Diese Zahl beschreibt die gemeldeten Installationen und nicht die Anzahl bestätigter Opfer. Wie viele Geräte tatsächlich mit dem Trojaner infiziert wurden oder bei wie vielen Nutzern Bankdaten abgeflossen sind, geht aus den verfügbaren Informationen nicht hervor.
So funktioniert der Banking-Trojaner Anatsa
Anatsa gehört zur Kategorie der Android-Schadsoftware, die auf Finanzdaten und den Zugriff auf Bankanwendungen abzielt. Der Trojaner kann versuchen, die normale Nutzung des Smartphones auszunutzen, um sensible Informationen zu erfassen oder betrügerische Eingaben zu provozieren.
Im beschriebenen Fall beginnt die Angriffskette mit einer scheinbar legitimen Anwendung. Nach der Installation kann die Tarn-App weitere Schadsoftware nachladen. Dadurch muss der gefährliche Bestandteil nicht bereits in einer für Nutzer unmittelbar erkennbaren Form vorliegen.
Ein besonders kritischer Punkt sind die Android-Bedienungshilfen. Diese Funktionen wurden ursprünglich entwickelt, um Menschen mit Einschränkungen die Bedienung eines Smartphones zu erleichtern. Werden die entsprechenden Zugriffsrechte einer bösartigen Anwendung erteilt, können sie jedoch auch für Angriffe missbraucht werden.
Je nach gewährten Berechtigungen und technischer Umsetzung kann Schadsoftware damit unter anderem folgende Aktionen versuchen:
- Inhalte auf dem Bildschirm beobachten oder mit ihnen interagieren.
- Die Bedienung anderer Anwendungen beeinflussen.
- Zusätzliche Berechtigungen oder Zugriffsmöglichkeiten ausnutzen.
- Gefälschte Anmeldemasken über legitime Banking-Apps legen.
- Sensible Informationen abfangen, wenn Nutzer ihre Zugangsdaten eingeben.
Die konkreten Möglichkeiten hängen von der installierten Schadsoftware, der Android-Version und den erteilten Berechtigungen ab. Nicht jedes infizierte Gerät ist automatisch für sämtliche dieser Angriffsmethoden anfällig.
Besonders kritisch wird es, wenn eine gefälschte Anmeldemaske kaum vom echten Login einer Bank zu unterscheiden ist. Nutzer können ihre Zugangsdaten dann unwissentlich direkt an Kriminelle übermitteln.
Gefälschte Login-Seiten können Bankzugänge gefährden
Eine zentrale Angriffsmethode besteht darin, eine echte Banking-Anwendung mit einer manipulierten Anmeldeseite zu überlagern. Der Nutzer öffnet seine gewohnte Bank-App und sieht eine Eingabemaske, die auf den ersten Blick authentisch wirkt. Tatsächlich kann diese Oberfläche von der Schadsoftware stammen.
Wer dort Benutzername, Passwort oder andere vertrauliche Angaben eingibt, riskiert, dass diese Informationen in die Hände der Angreifer gelangen. Je nach Angriff und Sicherheitsmechanismen der Bank können auch weitere Authentifizierungsdaten ins Visier geraten.
Das bedeutet jedoch nicht, dass jeder Nutzer, der den verdächtigen PDF-Reader installiert hat, bereits Geld verloren hat. Zwischen der Installation einer Tarn-App, dem Nachladen des Trojaners, dem Abgreifen von Zugangsdaten und einem möglichen finanziellen Schaden liegen unterschiedliche Schritte.
Ein unauffälliges Erscheinungsbild ist kein Sicherheitsnachweis. Auch eine App aus einem offiziellen Store sollte nicht mehr Berechtigungen erhalten, als für ihre eigentliche Funktion notwendig sind. Besonders kritisch sind unerwartete Aufforderungen, Bedienungshilfen für einen einfachen PDF-Reader freizuschalten.
Ein ungewöhnliches Verhalten des Smartphones kann ein Warnsignal sein, etwa unerklärliche Berechtigungsanfragen oder auffällige Veränderungen beim Öffnen einer Banking-App. Allerdings bleiben solche Hinweise unspezifisch: Ein Gerät kann infiziert sein, ohne dass die betroffene Person sofort etwas bemerkt.
So prüfen Android-Nutzer, ob die gefährliche App installiert ist
Der erste Schritt besteht darin, die installierten Anwendungen auf dem Smartphone zu kontrollieren. Der Name „PDF Reader“ allein reicht nicht immer aus, um eine App zweifelsfrei zu identifizieren, weil zahlreiche legitime Programme ähnlich heißen können.
Entscheidend ist deshalb die Kombination aus App-Name, Entwicklerangabe und Installationsquelle. In den vorliegenden Warnhinweisen wird ausdrücklich die Anwendung des Entwicklers Duka Zuri genannt.
Auf Samsung-Smartphones lässt sich die Prüfung beispielsweise über die Systemeinstellungen durchführen. Die Bezeichnungen der Menüpunkte können je nach Android-Version und Herstelleroberfläche abweichen.
- Einstellungen öffnen: Den Bereich für installierte Apps aufrufen.
- PDF-Reader suchen: In der Anwendungsliste nach „PDF Reader“ suchen und den Eintrag öffnen.
- App-Informationen kontrollieren: Soweit verfügbar, die Angaben zum Entwickler und zur Herkunft der Anwendung prüfen.
- Verdächtige Anwendung entfernen: Wenn die Angaben mit der Sicherheitswarnung übereinstimmen, die App deinstallieren.
- Gerät überprüfen: Anschließend einen Sicherheitsscan durchführen und prüfen, ob weitere Auffälligkeiten vorliegen.
Bei Samsung-Geräten kann unter den App-Informationen der Punkt „App-Details in Store“ erscheinen. Wenn sich dort keine Store-Informationen mehr öffnen lassen, ist das allerdings kein eindeutiger Beweis für eine Infektion. Eine App kann auch aus anderen Gründen nicht mehr verfügbar sein.
Wer den verdächtigen Eintrag eindeutig dem genannten Entwickler zuordnen kann, sollte ihn nicht weiterverwenden. Bei Unsicherheit ist es sinnvoll, die Anwendung bis zur Klärung nicht zu öffnen und keine zusätzlichen Berechtigungen zu erteilen.
Was Betroffene nach der Installation sofort tun sollten
Die Entfernung der verdächtigen App ist ein wichtiger erster Schritt, reicht bei einem möglichen Banking-Trojaner aber nicht in jedem Fall aus. Wenn die Schadsoftware bereits aktiv war, könnten sensible Daten schon abgegriffen worden sein. Deshalb sollte die weitere Reaktion davon abhängen, welche Anwendungen und Konten möglicherweise betroffen sind.
Das Bundesamt für Sicherheit in der Informationstechnik empfiehlt bei infizierten Smartphones grundsätzlich geeignete Maßnahmen zur Bereinigung. Ein Virenscanner kann helfen, bekannte Schadsoftware zu erkennen. Ein negativer Scan ist allerdings keine Garantie dafür, dass ein Gerät vollständig frei von Manipulationen ist.
Für betroffene Nutzer empfiehlt sich folgende Reihenfolge:
- Die verdächtige App deinstallieren und keine weiteren Berechtigungen gewähren.
- Das Smartphone mit einer vertrauenswürdigen Sicherheitslösung überprüfen.
- Bei einem möglichen Kontakt mit dem Banking-Trojaner die Bank über eine offizielle Telefonnummer kontaktieren.
- Zugangsdaten von einem anderen, vertrauenswürdigen Gerät aus ändern, sofern eine Gefährdung möglich ist.
- Kontobewegungen und ausstehende Transaktionen kontrollieren.
- Bei unbekannten Überweisungen oder anderen verdächtigen Aktivitäten unverzüglich die Bank informieren und gegebenenfalls betroffene Karten oder Zugänge sperren lassen.
Wer die App lediglich installiert, aber nie geöffnet hat, kann ein anderes Risikoprofil haben als jemand, der ihr umfangreiche Berechtigungen eingeräumt und anschließend seine Banking-App verwendet hat. Eine sichere Entwarnung lässt sich allein daraus jedoch nicht ableiten.
Besonders wichtig ist die Kontaktaufnahme mit der Bank, wenn Zugangsdaten auf einem möglicherweise infizierten Gerät eingegeben wurden. Ein Passwortwechsel sollte dann nicht über dasselbe Smartphone erfolgen, solange dessen Sicherheit ungeklärt ist.
Warum die Entfernung aus dem Google Play Store nicht genügt
Google hat die beanstandete App inzwischen aus dem Play Store entfernt. Dadurch wird verhindert, dass Nutzer sie weiterhin auf dem üblichen Weg über den offiziellen Eintrag herunterladen. Bereits installierte Kopien bleiben davon jedoch unberührt.
Das ist ein grundlegender Unterschied zwischen der Entfernung einer Anwendung aus einem App-Marktplatz und ihrer Deinstallation auf einem Smartphone. Die Maßnahme des Plattformbetreibers ersetzt daher nicht die Prüfung des eigenen Geräts.
Auch die Herkunft aus einem offiziellen App-Store bietet keinen absoluten Schutz vor Schadsoftware. Anwendungen können Sicherheitsprüfungen zunächst passieren und sich später als problematisch herausstellen. Deshalb spielen neben der Downloadquelle auch die Entwickleridentität, die verlangten Berechtigungen und das Verhalten einer App eine Rolle.
Die Entfernung aus dem Store ist eine wichtige Schutzmaßnahme für weitere Nutzer. Wer die App bereits installiert hat, muss jedoch selbst prüfen, ob sie noch auf dem Gerät vorhanden ist und ob zusätzliche Sicherheitsmaßnahmen erforderlich sind.
Bei einem konkreten Infektionsverdacht sollte eine einfache Deinstallation nicht als abschließende Sicherheitsgarantie betrachtet werden. Wenn sich die Schadsoftware nicht zuverlässig entfernen lässt oder weiterhin verdächtige Aktivitäten auftreten, kann eine vollständige Bereinigung des Smartphones erforderlich werden. Vor einem Zurücksetzen sollten wichtige persönliche Dateien gesichert werden, ohne verdächtige Apps oder unbekannte Installationsdateien erneut zu übernehmen.
Wie sich Android-Nutzer künftig besser vor Banking-Trojanern schützen
Die Warnung zeigt, wie wichtig ein vorsichtiger Umgang mit scheinbar alltäglichen Anwendungen ist. Ein PDF-Reader benötigt normalerweise keine umfassenden Zugriffsrechte auf andere Apps oder die Bedienung des gesamten Smartphones. Eine unerwartete Aufforderung zur Freigabe solcher Funktionen sollte deshalb kritisch geprüft werden.
Für mehr Sicherheit helfen einige grundlegende Maßnahmen:
- Anwendungen möglichst über vertrauenswürdige Quellen installieren und den Entwickler überprüfen.
- Berechtigungen nur dann freigeben, wenn sie für die Funktion der App nachvollziehbar notwendig sind.
- Android und installierte Anwendungen regelmäßig aktualisieren.
- Den Google Play Protect-Schutz aktiviert lassen und verfügbare Sicherheitsprüfungen nutzen.
- Keine Banking-Zugangsdaten eingeben, wenn eine Anmeldemaske ungewöhnlich erscheint.
- Bei verdächtigen Kontobewegungen schnell reagieren und die Bank kontaktieren.
Auch zusätzliche Sicherheitssoftware kann sinnvoll sein. Sie sollte allerdings von einem vertrauenswürdigen Anbieter stammen und selbst keine unnötigen Zugriffsrechte verlangen. Ein Virenscanner ist eine ergänzende Schutzmaßnahme, kein Ersatz für vorsichtige Installation und sichere Kontoverwaltung.
Was Android-Nutzer jetzt wissen müssen
Die Warnung von Zscaler ThreatLabz betrifft eine als „PDF Reader“ bezeichnete Anwendung des Entwicklers Duka Zuri, die den Banking-Trojaner Anatsa nachladen soll. Nach den vorliegenden Angaben wurde sie mehr als 10.000-mal installiert und inzwischen aus dem Google Play Store entfernt. Wie viele Geräte tatsächlich infiziert wurden, ist nicht bekannt.
Wer die betreffende App auf seinem Smartphone findet, sollte sie deinstallieren und das Gerät überprüfen. Wenn die Anwendung möglicherweise Zugriff auf Banking-Daten hatte, sind zusätzlich die Kontaktaufnahme mit der Bank und ein Passwortwechsel von einem sicheren Gerät aus wichtig. Die entscheidende Maßnahme besteht darin, nicht allein auf die Entfernung aus dem Store zu vertrauen, sondern den Sicherheitszustand des eigenen Smartphones und möglicher betroffener Konten aktiv zu kontrollieren.