Am 14. Oktober 2026 hat das IT-Sicherheitsunternehmen ThreatFabric eine neuartige Schadsoftware für Android-Geräte identifiziert. Der Banking-Trojaner mit dem Namen Hirudo wählt eine unübliche Vorgehensweise: Anstatt gefälschte Anmeldefenster über bestehende Anwendungen zu legen, deinstalliert die Schadsoftware die legitime Banking-App des Nutzers vollständig. Im Anschluss ersetzt sie diese durch eine modifizierte Kopie, die mit einem öffentlichen Android-Test-Schlüssel signiert ist.
Manipulation von Sicherheitsprüfungen und internationale Zielauswahl
Laut ThreatFabric nutzt Hirudo Hooking-Mechanismen über YAHFA und Dobby. Dadurch gelingt es dem Trojaner, Anfragen des Sicherheitsdienstes Play Integrity über das HTTP-Protokoll an Server der Angreifer umzuleiten. Die verwendete Zertifikats-Keybox steht nach Angaben der Analysten zudem teilweise auf der Sperrliste von Google.
Die Angriffe zielen gezielt auf Finanzinstitute ab. Nach Erkenntnissen von ThreatFabric sind acht Anwendungen von sieben indonesischen Instituten direkt betroffen. Darüber hinaus umfasst die interne Erfassungsliste der Malware 42 Finanz-Apps, die auf das Ausspähen von Zugangsdaten in Indonesien, China, Indien, Mexiko, Marokko und Thailand ausgerichtet sind. Italien sei von den Angriffen hingegen nicht betroffen.
Verbreitung über Schein-Apps und offengelegte Infrastruktur
Für die Verbreitung setzten die Kriminellen auf scheinbare Dienstprogramme und Medienanwendungen als Köder. ThreatFabric benannte dabei Apps unter den Namen Shopora, 1V1 X, ZoyaTV und KoiShort. Die entsprechenden Installationspakete lagen auf Amazon CloudFront und waren teilweise noch Ende September und Anfang Oktober 2026 aktiv abrufbar.
Wer sein Smartphone für Banking oder privates Shopping nutzt, sollte die Sicherheitslücken seines Geräts genau kennen. Dieser kostenlose Ratgeber zeigt Ihnen in fünf einfachen Schritten, wie Sie sich effektiv vor Datenmissbrauch und Hackern schützen. 5 sofort umsetzbare Schutzmaßnahmen entdecken
Wie das Fachmedium Chip berichtet, ersetzt Hirudo die legitimen Programme durch täuschend echte Nachbildungen und umgeht eingebaute Schutzprüfungen. Kriminelle erbeuten auf diesem Weg Passwörter, PINs und SMS-Nachrichten; zudem lasse sich das infizierte Mobiltelefon aus der Ferne steuern.
Bei der Untersuchung stieß ThreatFabric auf ein Administrationspanel der Angreifer, das ohne Authentifizierung zugänglich war. Dieses enthielt Datensätze aus dem August 2026 mit mehreren tausend Einträgen abgefangener Anmeldedaten. Die Gesamtzahl der tatsächlichen Infektionen ist bislang unbekannt.
Parallele Kampagnen und Schutzhinweise für Betroffene
Die Entdeckung von Hirudo fällt in eine Phase erhöhter Aktivität im Bereich mobiler Bankbetrugssoftware. So meldete Zscaler ThreatLabz am 8. Oktober 2026 über die Plattform X einen neuen Installer für den Trojaner Anatsa. Dabei lud eine PDF-Reader-App des Entwicklers Duka Zuri mit dem Paketnamen com.railforge.footplate.documentreader_pdfviewer die Schadsoftware als angebliches Update nach.
Ein veraltetes Betriebssystem ist für Cyberkriminelle oft wie eine offene Tür zu Ihren sensiblen Daten. Erfahren Sie in diesem Gratis-Report, wie Sie durch die richtigen Einstellungen und Updates Ihr Android-Gerät dauerhaft absichern. Kostenlosen Sicherheits-Ratgeber herunterladen
Am 9. Oktober 2026 entfernte Google die betroffene Anwendung, die zu diesem Zeitpunkt mehr als 10.000 Installationen verzeichnet hatte, aus dem Play Store.
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) empfiehlt Smartphone-Nutzern im Verdachtsfall, einen Virenscan durchzuführen und umgehend das zuständige Finanzinstitut zu verständigen.
Betroffene sollten ihre Zugangsdaten ausschließlich von einem separaten, sicheren Gerät aus ändern. Nach der Deinstallation verdächtiger Anwendungen rät die Behörde zudem dazu, einen Scan über Google Play Protect auszuführen und die vergebenen Systemberechtigungen sorgfältig zu kontrollieren.
Mehr zum Thema bei CHIP: „Android-Malware Hirudo: Diese Schadsoftware kann Ihre Banking-App heimlich austauschen“