Sturnus und Albiriox: Neue Trojaner knacken WhatsApp und Signal

Sicherheitsforscher schlagen Alarm: Zwei hochentwickelte Android-Trojaner umgehen die Ende-zu-Ende-Verschlüsselung von Messengern und attackieren gezielt europäische Banking-Apps. Die Malware liest verschlüsselte Nachrichten direkt vom Bildschirm ab – noch bevor Nutzer reagieren können.

Die Bedrohungslage eskaliert. Während Sturnus Nachrichten von WhatsApp, Signal und Telegram in Echtzeit abgreift, zielt Albiriox spezifisch auf österreichische und deutsche Nutzer. Beide Schädlinge markieren einen Wendepunkt in der mobilen Sicherheit: Sie knacken keine Verschlüsselung, sondern umgehen sie einfach.

Sturnus nutzt einen brutalen Trick. Die Malware fordert Nutzer auf, die Android-Bedienungshilfen zu aktivieren – angeblich für „Sicherheits-Updates” oder „bessere Performance”. Stimmt das Opfer zu, hat der Trojaner gewonnen.

Viele Android-Nutzer übersehen diese 5 Sicherheitsmaßnahmen, die genau vor Bildschirm‑Abfangern wie Sturnus schützen. Der kostenlose Ratgeber erklärt Schritt für Schritt, wie Sie Sideloading erkennen, Bedienungshilfen prüfen, Play Protect richtig einstellen und gefälschte Apps entlarven. Praktische Checklisten helfen Ihnen sofort zu handeln, bevor Daten und 2FA‑Codes in falsche Hände geraten. Gratis Android-Schutzpaket jetzt herunterladen

Ab diesem Moment liest die Malware jede Bildschirmanzeige mit. WhatsApp entschlüsselt eine Nachricht? Sturnus kopiert sie sofort. Die Bank sendet einen 2FA-Code? Der landet direkt bei den Angreifern. Die Ende-zu-Ende-Verschlüsselung funktioniert technisch einwandfrei – doch was nützt das, wenn jemand über deine Schulter mitliest?

Sicherheitsfirma ThreatFabric warnt: Screen Scraping erreicht eine neue Dimension. Sturnus arbeitet so präzise, dass selbst Transaktionsbestätigungen in Millisekunden abgefangen werden.

Europa im Fadenkreuz

Die geografische Ausrichtung ist eindeutig. Sturnus zielt auf Finanzinstitute in Süd- und Zentraleuropa, während Albiriox sich auf den deutschsprachigen Raum konzentriert. Über 400 Bank- und Krypto-Apps stehen auf der Zielliste.

Albiriox wird im Darknet als „Malware-as-a-Service” vermietet. Cyberkriminelle können die Software mieten und gegen spezifische Zielgruppen einsetzen. Cleafy beobachtete gestern intensive Kampagnen gegen österreichische Nutzer – die Angriffswelle rollt.

Die Verbreitung erfolgt klassisch per SMS-Phishing. Gefälschte Nachrichten von Paketdiensten oder Einzelhandelsketten locken Opfer zum Download verseuchter Apps. Der Köder: „Ihr Paket wartet – bitte installieren Sie unsere App zur Nachverfolgung.”

Fernsteuerung in Echtzeit

Die technische Raffinesse erreicht ein neues Level. Beide Trojaner nutzen Virtual Network Computing (VNC), um infizierte Geräte komplett zu übernehmen. Die Kriminellen können:

• Tastatureingaben live mitlesen (Keylogging)
• Den Bildschirm verdunkeln während Transaktionen laufen
• Wischgesten simulieren zum Autorisieren von Überweisungen
• Apps fernsteuern ohne dass das Opfer etwas merkt

Das Perfide: Die Transaktion startet vom Gerät des Opfers. Gleiche Geräte-ID, gleiche IP-Adresse, bekanntes Nutzungsverhalten. Banken-Sicherheitssysteme schlagen keinen Alarm, weil alles „normal” aussieht. On-Device Fraud macht herkömmliche Betrugserkennungssysteme blind.

Google reagiert – aber das reicht nicht

Google hat Google Play Protect aktualisiert, um bekannte Varianten zu blockieren. Doch das Kernproblem bleibt: Sideloading. Nutzer installieren Apps außerhalb des offiziellen Stores – aus Bequemlichkeit oder Unwissenheit.

Finanzinstitute in Deutschland, Österreich und der Schweiz haben ihre Warnstufen erhöht. Die Timing ist brisant: Das Weihnachtsgeschäft steht vor der Tür. Mehr Pakete bedeuten mehr Phishing-Möglichkeiten.

Experten sehen Parallelen zur berüchtigten Xenomorph-Malware. Der Name „Sturnus” (lateinisch für Star, einen Vogel der andere Stimmen imitiert) ist Programm: Die Malware imitiert perfekt Banking-Apps und Messenger-Oberflächen.

Was du jetzt tun musst

Die Testphase endet. Sicherheitsforscher erwarten großflächige Angriffe in den kommenden Wochen. Diese drei Regeln können dich schützen:

1. Nur offizielle Stores nutzen
Installiere Apps ausschließlich über den Google Play Store. Kein „APK aus dem Internet”, keine „exklusiven Beta-Versionen”.

2. Bedienungshilfen blockieren
Gewähre keine App Zugriff auf Accessibility Services – außer du bist wirklich auf Barrierefreiheit angewiesen. Dies ist das Haupteinfallstor.

3. Play Protect aktivieren
Prüfe in den Einstellungen, ob Google Play Protect aktiv ist und regelmäßig scannt.

Die Verschlüsselung deiner Nachrichten funktioniert. Aber wenn die Malware bereits auf deinem Gerät sitzt, spielt das keine Rolle mehr. Der Endpunkt ist das neue Schlachtfeld – und genau da musst du verteidigen.

PS: Wussten Sie, dass einfache Einstellungen oft ausreichen, um Banking‑Apps vor Screen‑Scraping und Fernsteuerung zu schützen? Dieses kostenlose Sicherheitspaket zeigt fünf leicht umsetzbare Maßnahmen – von richtigen Store‑Einstellungen bis zu Prüfschritten bei App‑Berechtigungen. Ideal für alle, die WhatsApp, Telegram oder Mobile Banking nutzen und sich schnell absichern wollen. Jetzt kostenloses Android-Schutzpaket anfordern