Banking-Trojaner Anatsa: Dieser vermeintlich harmlose Android-PDF-Reader ist eine Spionage-Falle

Die App "PDF Reader" des Entwicklers Duka Zuri wurde laut Google Play Store mehr als 10.000 Mal heruntergeladen. Die App schleust laut Sicherheitsforscher:innen aber den Banking-Trojaner Anatsa auf die Geräte der Nutzer:innen. Doch einfaches Löschen der Spionage-App reicht laut IT-Expert:innen nicht aus. Wie Betroffene ihre persönlichen Daten weiterhin schützen können, verrät dieser Beitrag.

Die Infos der App lassen sich auf dem Android über "Einstellungen" einsehen. Dazu muss die App "PDF Reader" ausgewählt werden. Im Anschluss müssen Nutzer:innen die App-Informationen auswählen, um den Entwickler zu überprüfen.

• App-Name: PDF Reader

• Entwickler: Duka Zuri

• Paketkennung: com.railforge.footplate.documentreader_pdfviewer

Anatsa-Trojaner hat es auf Bankdaten abgesehen

Am 8. Oktober gaben die Sicherheitsexpert:innen von Zscaler ThreatLabz via X bekannt, dass sie einen neuen Anatsa-Installer entdeckt hätten. Der Trojaner Anatsa wird dabei über eine harmlos wirkende App eingeschleust – in diesem Fall "PDF Reader". Diese App fungiert als Lockvogel, denn sie lädt später über den Server der Täter eine Schadstoffsoftware nach. Der Vorgang wird dann als Update getarnt. Auf diese Weise lassen sich die Prüfmechanismen von Google Play umgehen.

Nachdem die Installation erfolgt ist, fordert Anatsa die Rechte der Bedienungshilfen ein. Sind diese erstmal gewährt, werden weitere Berechtigungen durch die Schadstoffsoftware selbst freigeschaltet, wie beispielsweise das Lesen von SMS. Die Angreifer können damit volle Kontrolle über das Gerät erhalten und es aus der Ferne steuern.

Anatsa macht sich dann auf die Suche nach Banking-Apps. Wird die Anwendung von den Nutzer:innen geöffnet, spielen die Kriminellen gefälschte Login-Seiten über die echte App ein. Die eingegebenen Zugangsdaten werden von den Kriminellen abgefangen, über das Lesen der SMS werden auch Bestätigungscodes abgegriffen.

Auch in den News:

• Phishing-Alarm: Deutsche-Bank-Kunden müssen bei dieser Mail aufpassen

• Bankkarten-Betrug ohne Kartenverlust: So kann dein Konto betroffen sein

• Betrug in Schweinfurt: Falsche Bankmitarbeiterinnen erbeuten Bankkarte und PIN

Schutz vor Spionage-App: Was Nutzer:innen jetzt tun sollten

IT-Expert:innen raten im Falle einer Installierung der Spionage-App dazu, die App umgehend zu deinstallieren. Als Nächstes sollten Nutzer:innen eine Sicherheitsüberprüfung durchführen, indem sie im Google Play Store Profilbild → Play Protect → Scannen auswählen. Weiterhin können auch vor der Deinstallation die Bedienungshilfen ("Bedienungshilfen", "Installierte Apps" oder "Heruntergeladene Apps") in den Einstellungen prüfen. Sollte sich die App dort wiederfinden, dann müssen die Rechte entzogen werden – im Anschluss müssen Nutzer:innen die App löschen.

Im nächsten Schritt sollten alle Passwörter geändert werden, bevor die Banking-Apps wieder genutzt werden. Dies sollte jedoch von einem anderen sicheren Gerät erfolgen. Auch sollten Nutzer:innen ihre Bank kontaktieren, um gegebenenfalls die TAN-Verfahren vorsorglich zu sperren oder zu erneuern. Die Kontobewegungen müssen zudem gründlich auf unbekannte Bewegungen geprüft werden. Falls auffällige Vorgänge entdeckt wurden, sollten Nutzer:innen den Zugang zum Online-Banking sofort sperren lassen. Dies kann auch über den zentralen Sperr-Notruf erfolgen: 116116*.

Weil auch andere Konten, wie beispielsweise Google-Konto, E-Mail-Adresse o. ä., betroffen sein könnten, wird auch hier empfohlen, die Zugangsdaten zu ändern und eine Zwei-Faktor-Authentifizierung zu aktivieren. Ein vollständiges Zurücksetzen des Gerätes ist laut Empfehlung des BSI die sicherste Lösung, um die Schadstoffsoftware loszuwerden.