Sicherheitsexperten von Zimperium zLabs haben neue Forschungsergebnisse veröffentlicht, die tiefere Einblicke in die aktuelle Bedrohungslandschaft für mobile Endgeräte ermöglichen.
Die Untersuchungen belegen technische Verbindungen zwischen verschiedenen Android-Banking-Malware-Familien und zeigen auf, wie sich diese Schadsoftware koordiniert weiterentwickelt. Ein besonderer Fokus liegt dabei auf der Entdeckung des Trojaners ToxicPanda 2.0, der eine neue Generation mobiler Bedrohungen darstellt.
ToxicPanda 2.0 weitet Aktionsradius aus
Die Forscher identifizierten ToxicPanda 2.0, auch bekannt als TgToxic, als einen hochentwickelten Android-Banking-Trojaner. Die Malware verfügt über 167 Remote-Befehle und zielt auf insgesamt 349 Apps ab, darunter Anwendungen für klassisches Banking, Finanzdienstleistungen, digitale Geldbörsen (E-Wallets) und Kryptowährungen. Das Einsatzgebiet erstreckt sich laut den Berichten über 16 Länder, wobei eine deutliche Ausbreitung in Europa zu beobachten ist.
Technisch nutzt ToxicPanda 2.0 verschiedene Systemschnittstellen aus, um seine Ziele zu erreichen. Dazu gehören die Barrierefreiheitsdienste (Accessibility Services), Overlay-Techniken, Wireless Debugging sowie Geräteadministrator-Rechte.
Durch diese Kombination ist die Schadsoftware in der Lage, PIN-Codes von über 140 Banking- und Krypto-Apps zu entwenden. Die Verteilung der Malware erfolgt dabei über Infrastrukturen von AWS, während die Infektionen typischerweise durch Downloads außerhalb des offiziellen Google Play Stores eingeleitet werden.
Massiver Anstieg der Angriffe auf Finanz-Apps
Die Analysen von Zimperium zLabs für den Zeitraum bis zum Jahr 2026 verdeutlichen eine erhebliche Verschärfung der Bedrohungslage. Demnach stiegen die Angriffe durch Android-Banking-Trojaner im Jahresvergleich um 56 %.
Angesichts der rasant steigenden Angriffe auf mobile Bankanwendungen ist ein proaktiver Schutz des eigenen Geräts unerlässlich. Dieser kostenlose PDF-Ratgeber zeigt Ihnen 5 einfache Schritt-für-Schritt-Maßnahmen, um Ihr Android-Smartphone effektiv vor Hackern und Viren abzusichern. 5 sofort umsetzbare Schutzmaßnahmen entdecken
Die Anzahl der identifizierten Installationspakete nahm sogar um 271 % auf 255.090 zu. Insgesamt wurden 34 Malware-Familien identifiziert, die es auf 1.243 Banking- und Fintech-Apps in 90 Ländern abgesehen haben.
Besonders betroffen ist die EMEA-Region (Europa, Nahost und Afrika), in der über 800 Apps in 44 Ländern ins Visier gerieten. In Großbritannien sind 72 Apps betroffen, gefolgt von Spanien mit 65, Italien mit 57 und der Türkei mit 56 Anwendungen.
In Deutschland identifizierten die Experten 55 gezielt angegriffene Apps. Ein deutlicher Zuwachs zeigt sich auch in den USA, wo die Zahl der betroffenen Apps von 109 im Jahr 2023 auf 162 im Jahr 2026 anstieg.
Funktionsweise und regionale Schwerpunkte
Der „2026 Mobile Banking Heist Report“ von Zimperium zLabs hebt hervor, dass die Funktionalitäten der Schadsoftware immer invasiver werden. Etwa 66 % der Malware-Familien ermöglichen eine vollständige Kontrolle über das infizierte Gerät. In 76 % der Fälle ist eine Übernahme von Transaktionen möglich, während 45 % der Familien Funktionen für finanzielle Erpressung mittels Ransomware beinhalten.
Wer Banking-Apps oder digitale Geldbörsen nutzt, sollte die Sicherheit seines Betriebssystems nicht dem Zufall überlassen. Erfahren Sie in diesem gratis Report, wie Sie durch die richtigen Android-Updates kritische Sicherheitslücken schließen und Ihre Daten dauerhaft vor Malware schützen. Kostenlosen Sicherheits-Report jetzt herunterladen
Neben ToxicPanda spielen weitere Akteure eine zentrale Rolle am Markt. Die Malware TsarBot zielt allein auf 711 Banking- und 90 Fintech-Apps ab. Zusammen mit den Familien CopyBara und Hook deckt TsarBot rund 60 % der weltweit angegriffenen Finanz-Apps ab.
Die Forschung zeigt zudem spezifische regionale Muster auf. Während in Deutschland verstärkt Supermarkt-Apps im Fokus der Angreifer stehen, konzentrieren sich Bedrohungen in der Türkei auf die Familien Coper und Hqwar.
In Indien dominieren Varianten wie Rewardsteal oder Thamera, während in Brasilien Pylcasa als primäre Bedrohung identifiziert wurde. Die Experten betonen, dass diese Spezialisierung auf lokale App-Ökosysteme eine gezieltere Ausnutzung der Nutzergewohnheiten ermöglicht.
