Gefährlicher PDF-Reader
App spioniert Bankdaten auf dem Handy aus
28.10.2026 – 16:21 UhrLesedauer: 3 Min.
Eine Lese-App im offiziellen Google Play Store sieht harmlos aus, lädt aber heimlich einen Banking-Trojaner nach. Was dahintersteckt und wie Sie sich schützen.
Sicherheit auf dem Smartphone steht für viele Menschen an erster Stelle. Gefahr erwarten die meisten vor allem bei Apps aus unbekannten Quellen oder bei Links aus Phishing-Mails: Wer so etwas installiert, bemerkt oft schnell, dass etwas nicht stimmt – ungewöhnliche Berechtigungen beim ersten Start, schlechte Bewertungen, keine Herkunft aus dem offiziellen Store.
Die aktuelle Masche funktioniert anders. Die betroffene App steht im offiziellen Google Play Store, wirkt bei der Installation völlig unauffällig und tut zunächst genau das, was sie verspricht. Erst Wochen später verwandelt sie sich, getarnt als gewöhnliches Update, in ein Einfallstor für einen Banking-Trojaner. Darüber berichten die Technologieportale Netzwelt und Futurezone.
Betrüger missbrauchen Vertrauen im offiziellen Store
Für diesen perfiden Betrug missbrauchen Kriminelle das Vertrauen, das Nutzerinnen und Nutzer in den Google Play Store haben. Sicherheitsforscher von Zscaler ThreatLabz entdeckten dort eine App namens „PDF Reader“ des Entwicklers Duka Zuri. Mehr als 10.000-mal wurde sie installiert, bevor Google sie aus dem Store entfernte. Wie viele der installierten Geräte tatsächlich infiziert wurden, ist nicht bekannt.
Dafür mussten die Täter nicht einmal eine Lücke in Googles Prüfsystem ausnutzen. Sie setzten auf eine simple, aber wirkungsvolle Taktik: Die App funktioniert nach der Installation zunächst tatsächlich wie ein harmloser PDF-Reader beziehungsweise Dateimanager. Erkennt sie dabei, dass sie in einer Testumgebung läuft, bleibt sie vorsichtshalber unauffällig. Erst nach einer gewissen Zeit lädt sie, getarnt als reguläres Update, die eigentliche Schadsoftware nach: den Banking-Trojaner Anatsa.
So funktioniert der perfide Betrug
Die App „PDF Reader“ funktioniert nach der Installation zunächst normal. Erst wenn sie später den als Update getarnten Banking-Trojaner Anatsa nachgeladen hat, fordert dieser Zugriff auf die „Bedienungshilfen“ – und verschafft sich darüber selbst weitere Rechte, etwa das Lesen von SMS und das Einblenden von Fenstern über anderen Apps. So legt er ein gefälschtes Login-Fenster über die echte Banking-App und fängt zusätzlich SMS-Bestätigungscodes ab.
Kein Einzelfall: Über 831 Finanzinstitute im Visier
Das Ausmaß des Betrugs ist dabei kein Einzelfall: Laut einer Analyse von Zscaler ThreatLabz nahm eine frühere Anatsa-Welle bereits mehr als 650 Finanzinstitute weltweit ins Visier, inzwischen sind es über 831 – neu dazugekommen sind unter anderem Deutschland, Südkorea sowie diverse Krypto-Plattformen.
- Mensch oder Roboter? Die Prüfung, die Sie besser nicht bestätigen sollten
Ob die aktuelle „PDF Reader“-App dieselben Ziele verfolgt, ist nicht bekannt. Parallel dazu entdeckten die Forscher eine zweite Tarn-App mit vergleichbarer Funktion, diesmal als Dateimanager getarnt. Anatsa – auch als TeaBot bekannt – wird seit mindestens 2020 wiederholt mit wechselnden Tarn-Apps und immer neuen Entwicklerkonten über den Play Store verbreitet.
