Albiriox: Android-Trojaner steuert Smartphones fern

Eine neue Generation von Banking-Trojanern hebelt bisherige Sicherheitskonzepte aus. Die Malware Albiriox übernimmt die vollständige Kontrolle über Android-Geräte und führt Bankgeschäfte direkt vom Smartphone des Opfers aus – während diesem ein schwarzer Bildschirm angezeigt wird.

Sicherheitsforscher von Cleafy haben die Bedrohung identifiziert, die sich bereits auf über 400 Banking-Apps, Krypto-Wallets und Fintech-Dienste spezialisiert hat. Anders als klassische Trojaner stiehlt Albiriox nicht nur Zugangsdaten, sondern agiert wie ein unsichtbarer Nutzer, der das Gerät fernsteuert.

Die Angreifer setzen auf eine perfide Strategie: Sie erstellen täuschend echte Kopien von Google Play Store-Einträgen. Nutzer laden vermeintlich legitime Apps herunter – etwa von Einzelhandelsketten wie Penny – und installieren damit einen sogenannten Dropper.

Dieser lädt im Hintergrund die eigentliche Schadsoftware nach. In aktuellen Kampagnen wurden gezielt Nutzer in Österreich und Deutschland angegriffen. Die Malware verbreitet sich als Malware-as-a-Service (MaaS) im Darknet – Kriminelle können den Zugang im Abo-Modell mieten.

Passend zum Thema Android-Sicherheit: Banking-Trojaner wie Albiriox nutzen gefälschte App-Stores und missbrauchen Berechtigungen, um Zahlungs-Apps zu kapern. Viele Nutzer wissen nicht, welche Einstellungen wirklich schützen. Das kostenlose Sicherheitspaket erklärt die 5 wichtigsten Schutzmaßnahmen für Ihr Android-Smartphone, zeigt, welche Berechtigungen Sie sofort prüfen sollten und wie Sie gefälschte Apps erkennen. Jetzt Gratis-Sicherheitspaket für Android herunterladen

Neue Angriffsmethode: On-Device Fraud

Was macht Albiriox so gefährlich? Die Malware missbraucht Android-Bedienungshilfen (Accessibility Services), die eigentlich für Menschen mit Behinderungen gedacht sind. Dadurch kann sie:

• Tastatureingaben mitlesen und Bildschirminhalte aufzeichnen
• Authentifizierungs-Apps öffnen und Einmal-Passwörter abfangen
• Überweisungen selbstständig durchführen, während dem Opfer ein Update-Hinweis angezeigt wird

Dieser On-Device Fraud (ODF) ersetzt klassisches Phishing. Da die Transaktionen vom vertrauenswürdigen Gerät des Opfers ausgehen, greifen herkömmliche Sicherheitsmechanismen der Banken nicht. Für Betrugserkennungssysteme sieht es aus, als würde der Kunde selbst überweisen.

Sturnus und ToxicPanda verstärken die Bedrohung

Albiriox steht nicht allein. Forscher von ThreatFabric warnen parallel vor dem Trojaner Sturnus, der sogar Inhalte aus verschlüsselten Messengern wie WhatsApp abgreifen kann. Die Malware liest den Bildschirminhalt direkt aus.

Zusätzlich verbreitet sich ToxicPanda zunehmend in Europa. Ursprünglich in Asien entwickelt, spezialisiert sich dieser Trojaner auf Account-Übernahmen durch direkten Fernzugriff. Die zeitgleichen Entdeckungen zeigen: Kriminelle Entwicklergruppen investieren massiv in Technologien zur Automatisierung, um Zwei-Faktor-Authentifizierung systematisch auszuhebeln.

Das Ende der SMS-TAN-Sicherheit?

Die aktuellen Entwicklungen markieren einen Wendepunkt. Eine SMS-TAN oder App-Bestätigung bietet keinen ausreichenden Schutz mehr. Analysten sprechen von einer Industrialisierung von Mobile-Malware – das professionelle MaaS-Modell ermöglicht selbst technisch unerfahrenen Kriminellen hochkomplexe Angriffe.

Die DACH-Region steht im Fokus der Angreifer. Die hohe Verbreitung von Android-Geräten und die intensive Nutzung von Mobile Banking machen die Region attraktiv. Google tut sich schwer, die Sicherheitslücke bei den Accessibility Services zu schließen, ohne die Barrierefreiheit des Betriebssystems einzuschränken.

Verschärfte Sicherheitsregeln für Nutzer

Experten rechnen in den kommenden Wochen mit einer Zunahme gefälschter App-Updates und Smishing-Nachrichten, die auf manipulierte App-Stores verlinken. Für Smartphone-Nutzer gelten ab sofort neue Vorsichtsmaßnahmen:

Kein Sideloading: Installieren Sie Apps ausschließlich direkt über die offizielle Google Play Store App. Links in SMS oder E-Mails, die auf Webseiten führen, die nur aussehen wie der Play Store, sind tabu.

Vorsicht bei Berechtigungen: Verlangt eine harmlose App wie ein PDF-Reader Zugriff auf Bedienungshilfen? Das ist fast immer ein Indikator für Schadsoftware. Lehnen Sie solche Anfragen grundsätzlich ab.

Play Protect aktivieren: Google Play Protect ist Pflicht – bietet aber keinen hundertprozentigen Schutz gegen die neuesten Varianten.

Banken werden ihre Risiko-Algorithmen anpassen müssen. Die technische Geräte-Validierung allein reicht nicht mehr aus – Verhaltensmuster wie ungewöhnlich schnelle Klicks oder Nutzung zu untypischen Zeiten müssen stärker analysiert werden.

PS: Diese 5 Maßnahmen machen Ihr Smartphone spürbar sicherer – besonders wenn Sie Mobile Banking, WhatsApp oder Bezahl-Apps nutzen. Der Gratis-Ratgeber enthält Schritt-für-Schritt-Anleitungen, praktische Checklisten, Hinweise zur richtigen Nutzung von Play Protect und welche Berechtigungen Sie sofort kontrollieren sollten. Er zeigt außerdem, welche Einstellungen Banken als sicher einstufen, damit Transaktionen nicht missbräuchlich erfolgen. Sicherheits-Checkliste für Ihr Android anfordern