Sicherheitsforscher warnen vor einer großangelegten Malware-Kampagne, bei der Kriminelle mehr als 65 namhafte Marken imitieren, um Bankkonten von Smartphone-Nutzern leerzuräumen. Betroffen sind unter anderem Kunden von Fluggesellschaften wie Ryanair, Emirates und Qatar Airways.
Die Angreifer nutzen dringlich formulierte Vorwände wie vermeintliche Jobangebote, Steuerrückerstattungen oder exklusive Flugangebote, um Opfer zur Installation schädlicher Anwendungen zu verleiten.
Trojaner nutzen SMS und WhatsApp zur Verbreitung
Nach Erkenntnissen von NordVPN beginnt der Angriffsvektor in der Regel mit einer Nachricht über SMS oder den Messengerdienst WhatsApp. In diesen Mitteilungen werden die Empfänger unter Druck gesetzt oder mit attraktiven Versprechen gelockt, eine Android-App außerhalb des offiziellen Google Play Stores zu installieren.
Sobald der Trojaner auf dem Gerät aktiv ist, ist er in der Lage, eingehende SMS-Nachrichten und Verifizierungscodes mitzulesen. Dies ermöglicht es den Hintermännern, Transaktionen zu autorisieren und Konten der Betroffenen systematisch zu plündern.
Die Kampagne wird bereits seit August 2025 beobachtet. Dabei setzen die Akteure auf eine umfangreiche Infrastruktur von über 100 registrierten Domains mit verschiedenen Endungen wie .cc, .lol, .xyz und .mom. Durch die Verwendung dieser wechselnden Adressen versuchen die Betreiber, Sicherheitsmechanismen zu umgehen und die Lebensdauer ihrer betrügerischen Seiten zu verlängern.
Wer sich vor solchen kriminellen Zugriffen auf das eigene Gerät schützen möchte, kann mit wenigen gezielten Handgriffen die Sicherheit deutlich erhöhen. In diesem kostenlosen Ratgeber erfahren Sie, wie Sie Ihr Android-Smartphone effektiv gegen Hacker und Viren absichern. 5 sofort umsetzbare Schutzmaßnahmen entdecken
Octagon-Bot als professionelles Werkzeug für Cyberkriminelle
Analysen von iVerify geben tiefere Einblicke in die technische Beschaffenheit der verwendeten Schadsoftware. Im Juni 2026 wurde der Android-Trojaner Octagon identifiziert, der als Teil eines Malware-as-a-Service-Modells vertrieben wird. Ein russischsprachiger Anbieter namens AndroidKitKat bietet die Software in einschlägigen Foren für einen Preis von 1.400 US-dollar pro Monat an.
Die Malware zeichnet sich durch eine hohe Funktionalität aus. Sie nutzt die Barrierefreiheitsdienste (Accessibility Services) des Android-Betriebssystems, um Einmalpasswörter (OTP) abzufangen und grafische Overlays über legitime Anwendungen zu legen. Insgesamt zielt die Software auf 457 verschiedene Apps ab. Ein besonderer Schwerpunkt liegt dabei auf Kryptowährungs-Plattformen und Wallets wie Trust Wallet, Binance, MetaMask und MEXC.
Neben Octagon wurden zwei weitere Varianten mit identischer Architektur entdeckt, die unter den Namen Lifted Dreams und BahrDate firmieren. Alle drei Proben nutzen den Port TCP 4444 für die Kommunikation mit ihren Command-and-Control-Servern.
In einer spezifischen Kampagne in Bahrain wurde zudem eine gefälschte App namens BH-Alert identifiziert, um Nutzer zu täuschen. Problematisch bleibt laut iVerify, dass Google Play Protect zum Zeitpunkt der Analyse keine Meldungen über diese schädlichen Anwendungen ausgab.
Die beschriebenen Gefahren durch Schadsoftware zeigen, wie wichtig ein stets aktuelles System für den Schutz sensibler Daten auf dem Smartphone ist. Dieser kostenlose PDF-Report erklärt Schritt für Schritt, wie Sie Sicherheitslücken schließen und gefährliche Apps rechtzeitig erkennen. Kostenlosen Android-Sicherheits-Ratgeber herunterladen
Google plan verschärfte Sicherheitsvorkehrungen
Als Reaktion auf die zunehmende Gefahr durch Apps aus unbekannten Quellen führt Google eine neue Sicherheitsfunktion namens „Advanced Flow“ ein. Ab dem 30. September 2026 müssen Nutzer bei der Installation von Anwendungen, die von nicht verifizierten Entwicklern stammen, eine obligatorische Wartezeit von 24 Stunden einplanen.
Diese Maßnahme soll es Sicherheitssystemen ermöglichen, die Software gründlicher zu prüfen und den Nutzern Zeit geben, ihre Entscheidung zu überdenken.
Die Einführung beginnt zunächst in ausgewählten Märkten, darunter Brasilien, Indonesien, Singapur und Thailand. Nutzer haben dabei die Möglichkeit, Installationen für einen Zeitraum von sieben Tagen oder dauerhaft freizugeben, wobei Installationen über die Android Debug Bridge (ADB) von dieser Regelung ausgenommen sind.
Eine weltweite Ausweitung dieses Sicherheitsfeatures ist bis zum Jahr 2027 geplant. Bis dahin raten Experten zur besonderen Vorsicht bei unaufgeforderten Nachrichten, die zur Installation von Software auffordern.
