Kaspersky warnt: Neue Android-Geräte werden bereits infiziert ausgeliefert.

Kaspersky Warnungen vor der Rückkehr von Hintertüren, die in der Firmware neuer Android-Geräte vorinstalliert sind, darunter Keenadu und verschiedene Varianten von Triada. Insgesamt blockierten Kaspersky-Lösungen im Jahr 2025 14.059.465 mobile Angriffe, durchschnittlich 1,17 Millionen pro Monat.

Die Daten stammen von Kaspersky Security Network (KSN), Kaspersky ist ein globales Netzwerk zur Analyse von Bedrohungsdaten, das anonym von Nutzern betrieben wird. Kaspersky weist darauf hin, dass die statistische Methodik seit dem dritten Quartal 2025 aktualisiert wurde, wodurch die Zahlen möglicherweise nicht mit früheren Veröffentlichungen vergleichbar sind – mit Ausnahme der Statistiken zu Installationspaketen, die weiterhin nach der ursprünglichen Methodik berechnet werden. Die in den Marketingmitteilungen des Herausgebers präsentierten Fortschrittszahlen können daher von den Daten im Hauptbericht abweichen.

Die Hauptfunktion von Mobile-Banking-Trojanern besteht darin, Anmeldedaten zu stehlen: Zugangsdaten für Online-Banking-Dienste, elektronische Zahlungssysteme und Kreditkartendaten. Adware bleibt zwar hinsichtlich des Umfangs die häufigste Bedrohung, aber… Bis 2025 werden 62 % aller Entdeckungen auf Banking-Trojaner und Spyware entfallen. Das bedeutendste Wachstum. Für IT-Manager, die mobile Geräteflotten in Unternehmensumgebungen verwalten, stellt die Konvergenz der zunehmenden Anzahl von Varianten und die Ausweitung der Verbreitungsvektoren eine messbare Verschlechterung der Angriffsfläche dar.

Mamont dominiert die Rangliste, Coper macht starke Fortschritte

Die Trojanerfamilien Mamont und Creduz machen den Großteil des Angriffsvolumens aus: Mamont repräsentiert 49,8 % der neu entdeckten Banking-Trojaner-Pakete und Creduz 22,5 %. In der Rangliste der Banking-Angriffe belegen Mamont-Varianten sechs der zehn Spitzenplätze, mit einem deutlichen Anstieg gegenüber 2024 bei den Endungen .da (+14,79 Prozentpunkte) und .db (+13,29 Punkte). Auch Coper.c verzeichnete einen signifikanten Anstieg von 7,19 % auf 9,65 % an angegriffenen Nutzern und wird in regionalen Daten als die dominante Variante in der Türkei geführt – verbreitet über den Hqwar-Dropper.

Der Anstieg auf 255.090 eindeutig erkannte Banking-Installationspakete bestätigt eine variantenbasierte Verbreitungsstrategie. Durch die Erstellung einer großen Anzahl unterschiedlicher APK-Dateien können Cyberkriminelle signaturbasierte Erkennungssysteme überlasten und das Zeitfenster vor der Neutralisierung verlängern. Anton Kivva, Leiter des Malware-Analyse-Teams bei Kaspersky, zieht daraus eine direkte wirtschaftliche Schlussfolgerung: “Angesichts der gestiegenen Anzahl eindeutiger Schadsoftwarepakete können wir davon ausgehen, dass diese Angriffe Cyberkriminellen erhebliche Gewinne einbringen.”

Regionale Daten bestätigen, dass sich die Virenstämme an lokale Gegebenheiten anpassen. In Indien dominieren Rewardsteal-Varianten mit über 90 geografischen Konzentrationen des %-Trojaners, die unter dem Deckmantel gefälschter Bonusprogramme auf Zahlungsdaten abzielen. In Deutschland war ein Proxy-Trojaner in einer App versteckt, die einen Rabattservice einer nationalen Supermarktkette imitierte. In Brasilien leiten Pylcasa-Angreifer ihre Nutzer auf Phishing- oder illegale Glücksspielseiten um.

Keenadu und Triada: Hintertüren in der Firmware

Die am schwierigsten zu neutralisierende Bedrohung, wie dokumentiert von Kaspersky Die Schadsoftware Triada wird ab 2025 nicht mehr über Apps verbreitet, sondern vor der Markteinführung in die Firmware von Android-Geräten integriert. Die Triada-Familie und die im vierten Quartal 2025 entdeckte Keenadu-Backdoor sind ihre aktivsten Vertreter. Triada ist dreimal unter den Top 20 der am häufigsten angegriffenen mobilen Schadsoftware vertreten, darunter eine Variante (.fe), deren Angriffszahlen zwischen 2024 und 2025 von 0,04 % auf 9,84 % anstiegen – der größte Zuwachs in dieser Rangliste.

Keenadu verfügt über eine besonders aggressive Architektur. Der Schadcode wird in `libandroid_runtime.so`, die Kernbibliothek der Android-Java-Laufzeitumgebung, eingeschleust und erhält so Zugriff auf den Adressraum jeder auf dem Gerät laufenden Anwendung. Seine schädlichen Module werden dynamisch heruntergeladen und können remote aktualisiert werden, wodurch sich der Schadcode nach der Infektion unabhängig von der Nutzerinteraktion weiterentwickeln kann. Beobachtete Aktionen umfassen die Manipulation von Werbeeinblendungen, das Anzeigen von Bannern für andere Anwendungen und das Abfangen von Suchanfragen – sein tatsächlicher Funktionsumfang ist jedoch theoretisch unbegrenzt.

Die Maßnahmen sind strukturell begrenzt. Ein Zurücksetzen der Geräte auf Werkseinstellungen reicht nicht aus, um eine in der Firmware vorinstallierte Hintertür zu entfernen. Die einzige dokumentierte Methode besteht darin, nach einem verfügbaren Firmware-Update des Herstellers zu suchen und dieses anschließend vollständig zu analysieren, um sicherzustellen, dass es selbst nicht kompromittiert ist – ein Verfahren, das eine Richtlinie für das Gerätelebenszyklusmanagement erfordert, über die die meisten Unternehmen im BYOD-Kontext (Bring Your Own Device) für ihre privaten Geräte nicht verfügen.

Für IT-Teams stellt das Zusammentreffen zweier unterschiedlicher Bedrohungsarten – durch Downloads verbreitete Trojaner und vorinstallierte Systeme – eine Herausforderung dar. Hintertüren – Verteidigungsstrategien. Herkömmliche MDM-Richtlinien, die sich auf die Kontrolle von Anwendungsinstallationen und die Verwaltung von Betriebssystemaktualisierungen konzentrieren, sind zwar gegen den ersten Angriffsvektor wirksam, jedoch nicht gegen den zweiten. In diesem Zusammenhang wird die Rückverfolgbarkeit in der Hardware-Lieferkette zu einem wichtigen Bestandteil der Endpunktsicherheitsrichtlinie.

Die zunehmende Anzahl einzigartiger APKs im Zusammenhang mit Banking-Trojanern deutet darauf hin, dass Erkennungslösungen, die ausschließlich auf statischen Signaturen basieren, immer weniger effektiv werden. Für CISOs wird die Fähigkeit mobiler EDR-Lösungen, anomales Ausführungsverhalten – wie den Zugriff auf Zahlungsdaten, das Abfangen von OTP-Codes oder die Kommunikation mit Command-and-Control-Servern – unabhängig von der verwendeten Signatur zu erkennen, zum wichtigsten Unterscheidungsmerkmal bei der Bewertung ihrer mobilen Sicherheitstools.