Sicherheitsbehörden und Experten des IT-Sicherheitsunternehmens Group-IB warnen vor einer neuen Welle schädlicher Android-Anwendungen. Aktuellen Berichten zufolge wurden zehn Apps identifiziert, die durch aggressive Werbe-Malware-Plugins nicht nur den Datenverkehr manipulieren, sondern die gesamte Gerätesicherheit gefährden. Diese Entdeckung steht im Kontext einer zunehmend komplexen Bedrohungslage für mobile Endgeräte.
Kombinierte Angriffe durch SpyNote und WindRelay
Die Sicherheitsforscher von Group-IB weisen auf eine besonders raffinierte Angriffsmethode hin, bei der die Malware „WindRelay“ (NFC-Relay) in Kombination mit dem Fernzugriffstrojaner (RAT) „SpyNote“ eingesetzt wird. Der Angriff beginnt laut den Experten häufig mit Social Engineering: Angreifer geben sich am Telefon als Bankmitarbeiter aus und verleiten die Opfer dazu, eine manipulierte App zu installieren. Um Vertrauen zu erwecken, wird der Name der App dabei oft individuell auf das jeweilige Opfer angepasst.
Banking, PayPal oder Online-Shopping – wer sensible Dienste auf dem Smartphone nutzt, steht zunehmend im Visier von Cyberkriminellen. Dieser kostenlose Ratgeber zeigt Ihnen in fünf einfachen Schritten, wie Sie Ihr Gerät effektiv gegen Hacker und Viren absichern. 5 sofort umsetzbare Schutzmaßnahmen entdecken
Ein dokumentierter Fall verdeutlicht die Geschwindigkeit dieser Angriffe: Während eines nur 13-minütigen Telefonats gelang es den Tätern, im Namen des Opfers einen Kredit aufzunehmen und unautorisierte Kartenzahlungen zu tätigen. Nachdem das Opfer SpyNote installiert hatte, übertrug die Komponente WindRelay die NFC-Daten der physischen Kreditkarte in Echtzeit an die Angreifer.
Geografische Schwerpunkte und historische Einordnung
Zwischen November 2025 und Juli 2026 identifizierten die Forscher insgesamt 23 Samples auf der Analyseplattform VirusTotal. Die Angriffe konzentrierten sich primär auf Nutzer in Tschechien, der Slowakei und Slowenien. Die Experten ziehen dabei Parallelen zu früheren Bedrohungen wie „NGate“ und „Ghost Tap“. In einem Zeitraum von November 2024 bis August 2025 führten vergleichbare Methoden bereits zu finanziellen Verlusten von mehr als 355.000 US-dollar.
Daten des Sicherheitsunternehmens Kaspersky unterstreichen den Trend zu Angriffen auf die NFC-Schnittstelle. In den ersten vier Monaten des Jahres 2026 (Januar bis April) stieg die Zahl der NFC-basierten Angriffe auf Android-Geräte im Vergleich zum Vorjahreszeitraum um 188 Prozent.
Da herkömmliche Sicherheits-Updates oft nicht ausreichen, um komplexe Angriffe abzuwehren, empfehlen IT-Experten zusätzliche Sicherheitsvorkehrungen für jedes Android-Gerät. Erfahren Sie in diesem Gratis-PDF, wie Sie die Kontrolle über Ihre Daten behalten und WhatsApp, PayPal & Co. endlich sicher nutzen. Kostenlosen Sicherheits-Ratgeber jetzt herunterladen
Fehlende Patch-Möglichkeiten und Prävention
Da die Infektion maßgeblich auf Social Engineering und der bewussten Täuschung der Nutzer basiert, betonen die Experten von Group-IB, dass ein klassischer Software-Patch zum Schutz nicht ausreicht. Zur Absicherung der Geräte wird dringend empfohlen, auf die Installation von Apps aus Drittanbieterquellen (Sideloading) zu verzichten. Zudem sollten Nutzer äußerst vorsichtig bei der Vergabe von Berechtigungen für NFC-Dienste und Bedienungshilfen (Accessibility Services) sein.
Für die technische Überwachung wurden zudem spezifische Command-and-Control-Server (C2) identifiziert. Zu den gemeldeten Indikatoren für eine Kompromittierung (IoCs) gehören die IP-Adressen 88.86.124.114, 185.100.87.116, 185.100.87.223 sowie 213.218.160.48. Fachleute raten Administratoren und sicherheitsbewussten Nutzern, den Datenverkehr zu diesen Adressen kritisch zu prüfen.
