Drei Banking-Trojaner verschärfen die Bedrohung für Android und Windows

Die am 22. August 2026 zusammengetragenen Meldungen beschreiben drei neue oder aktualisierte Malware-Familien: Manic, Grandoreiro und ToxicPanda 2.0. Sie greifen Android-Smartphones und Windows-Computer mit unterschiedlichen Techniken an, verfolgen jedoch ein gemeinsames Ziel: Anmeldedaten zu stehlen, Geräte zu kontrollieren und Bank- oder Kryptowährungsbetrug zu ermöglichen.

Manic verwandelt Android-Smartphones in Überwachungsstationen

ThreatFabric hat Manic analysiert, eine Android-Malware, die Funktionen eines Banking-Trojaners mit Spyware verbindet. Der Schwerpunkt der Aktivitäten liegt in der Ukraine, wo Banken, staatliche Dienste und Messaging-Anwendungen ins Visier genommen wurden.

Die Bedrohung wurde auch gegen russische und europäische Finanzinstitute, globale Kryptowährungs- und Fintech-Plattformen sowie Messaging-Anwendungen beobachtet, die im militärischen Umfeld genutzt werden.

Manic kann über manipulierte Websites oder Dropper eingeschleust werden – also Komponenten, die die Malware auf dem Gerät installieren. Nach der Ausführung kann die Schadsoftware Tastatureingaben aufzeichnen, Phishing-Bildschirme anzeigen und die Fernsteuerung des Smartphones ermöglichen.

Die Fähigkeiten des Trojaners beschränken sich nicht auf Bankgeschäfte. Manic kann Benachrichtigungen überwachen, den Gerätestandort verfolgen, Dateien sammeln und das Smartphone aus der Ferne ausspionieren. Benachrichtigungen können zudem Einmalcodes, Authentifizierungsnachrichten oder andere Informationen preisgeben, die zur Durchführung eines Betrugs benötigt werden.

Besonders ungewöhnlich ist das Offline-Mesh-Relay-System. Kann das infizierte Smartphone den Command-and-Control-Server nicht direkt erreichen, kann es Daten über andere kompromittierte Geräte in der Nähe weiterleiten. Die Verbindung kann dabei Wi-Fi Direct oder Bluetooth nutzen.

Eine fehlende direkte Verbindung zur kriminellen Infrastruktur verhindert die Datenexfiltration somit nicht zwangsläufig. Infizierte Geräte können als Vermittler fungieren und untereinander ein lokales Netzwerk bilden.

Grandoreiro missbraucht ein legitimes Windows-Programm

Grandoreiro ist weiterhin vor allem in Lateinamerika aktiv. Mexiko stand im Mittelpunkt der jüngsten von Acronis beobachteten Kampagne. Der ursprünglich aus Brasilien stammende Trojaner ist seit rund einem Jahrzehnt aktiv und greift weiterhin Ziele in Europa und Nordamerika an.

Im Gegensatz zu Manic und ToxicPanda arbeitet Grandoreiro unter Windows. Die neuesten Samples missbrauchen Duplicate Files Finder, eine legitime Anwendung, um über DLL-Sideloading Schadcode zu laden.

Die Technik nutzt die Art und Weise aus, wie ein Programm seine Bibliotheken sucht und lädt. Wird am vorgesehenen Speicherort eine manipulierte DLL abgelegt, kann die legitime Anwendung dazu gebracht werden, auch die Schadkomponente auszuführen. Der Einsatz echter Software erschwert es, die Aktivität von normalen Prozessen auf dem System zu unterscheiden.

Das ursprüngliche Sample verfügt außerdem über umfangreiche Anti-Analyse-Funktionen. Grandoreiro sucht nach Sandboxes, prüft Artefakte virtueller Maschinen, analysiert laufende Prozesse und profiliert die Betriebsumgebung.

Darüber hinaus verwendet die Malware Prozess-Blacklists und Prüfungen, die automatisierte Analysesysteme umgehen sollen. Diese Kontrollen finden statt, bevor der Trojaner versucht, die Command-and-Control-Infrastruktur zu kontaktieren. Die Malware prüft also zunächst, ob sie sich auf einem echten Computer oder in einer von Forschern genutzten Umgebung befindet.

Dieses Verhalten erschwert die Arbeit von Verteidigungsteams. Ein Sample kann während einer automatisierten Analyse inaktiv bleiben und sich erst aktivieren, wenn es Bedingungen erkennt, die zu einer täglich genutzten Workstation passen.

ToxicPanda 2.0 erweitert die finanziellen Ziele drastisch

Zimperium hat ToxicPanda 2.0 entdeckt, eine aktualisierte Variante des Android-Banking-Trojaners, der bislang vor allem in Europa aktiv war.

Die auffälligste Änderung betrifft die Angriffsfläche. Die neue Version enthält eine Liste von fast 350 Finanzanwendungen, während frühere Versionen lediglich 16 Anwendungen ins Visier nahmen. Die Malware ist darauf ausgelegt, Finanzinstitute in 16 Ländern anzugreifen.

Zu den genannten Staaten gehören Pakistan, Südafrika, Mexiko, Nigeria, Indien, Indonesien und Panama. Die Zielregionen umfassen damit sehr unterschiedliche Märkte und beschränken sich nicht auf ein einzelnes nationales Bankensystem.

ToxicPanda 2.0 unterstützt 167 Remote-Befehle. Die Betreiber können dem kompromittierten Gerät dadurch zahlreiche Anweisungen erteilen und das Verhalten des Trojaners an das Smartphone-Modell, die verwendete Finanzanwendung oder die jeweilige Phase des Betrugs anpassen.

Die Variante führt außerdem einen automatisierten, klickbasierten Mechanismus ein, um Android Wireless Debugging, auch als ADB bekannt, zu missbrauchen. Diese Funktion kann eine Rechteausweitung und den Zugriff auf die Geräteshell ermöglichen.

Ein Shell-Zugriff eröffnet den Angreifern eine deutlich umfassendere Kontrollmöglichkeit als das bloße Einblenden einer gefälschten Seite. Je nach erlangten Berechtigungen können sie Befehle ausführen, das System abfragen und mit Komponenten interagieren, die gewöhnlichen Anwendungen normalerweise nicht zugänglich sind.

Auch die Verbreitung wurde angepasst. Die beobachteten Samples liegen in Amazon-AWS-Buckets und nutzen damit legitime oder allgemein verfügbare Cloud-Infrastruktur, um die Malware an die Opfer auszuliefern.

Drei unterschiedliche Wege zum Betrug

Die drei Malware-Familien verfolgen sich ergänzende Ansätze.

Manic kombiniert Datendiebstahl, Überwachung, Fernsteuerung und die Kommunikation zwischen infizierten Geräten. Die Auswirkungen können über das Bankkonto hinausgehen und auch Dateien, Standortdaten, Benachrichtigungen und auf dem Smartphone gespeicherte Gespräche betreffen.

Grandoreiro setzt dagegen auf die Kompromittierung von Windows-Systemen durch legitime Software und DLL-Sideloading. Anti-Sandbox- und Anti-Virtualisierungsmechanismen sollen die Wahrscheinlichkeit verringern, dass die Malware während der Analyse erkannt wird.

ToxicPanda 2.0 erweitert die Zahl der angreifbaren Finanzanwendungen und ergänzt ein wesentlich ausgefeilteres Fernsteuerungssystem. Der Missbrauch von ADB erhöht zudem das Risiko eines Zugriffs auf niedrigerer Systemebene.

Zu den potenziell betroffenen Gruppen gehören Android-Nutzer, Beschäftigte mit Windows-Workstations, Banken, Fintech-Dienste, Kryptowährungsplattformen, Behörden und Messaging-Anwendungen. Mögliche Folgen sind der Diebstahl von Anmeldedaten, das Abfangen von Benachrichtigungen, die Exfiltration von Dateien, Standortüberwachung und betrügerische Transaktionen.

Was zu prüfen ist und welche Informationen fehlen

Es wurden keine CVE-Kennungen, betroffenen Softwareversionen, Patches, Indicators of Compromise oder spezifischen Verfahren zur Entfernung veröffentlicht. Unklar ist außerdem, ob diese Bedrohungen in den KEV-Katalog der CISA aufgenommen wurden.

Administratoren sollten insbesondere auf Installationen aus nicht offiziellen Quellen und auf mit Manic verbundene Android-Dropper achten. Ebenfalls zu prüfen sind ungewöhnliche Anforderungen zur Fernsteuerung sowie verdächtige Zugriffe auf Benachrichtigungen, Standortdaten, Dateien und Bedienungshilfen.

Bei Grandoreiro sind eine unerwartete Ausführung von Duplicate Files Finder, ungewöhnliches DLL-Laden und Anti-Analyse-Prüfungen wichtige Signale, die mit Prozess- und Netzwerk-Telemetrie korreliert werden sollten. Bei ToxicPanda 2.0 verdienen Verbindungen zu verdächtigen AWS-Buckets, die unerwartete Aktivierung von Wireless Debugging sowie eine ungewöhnliche Nutzung von ADB oder der Shell besondere Aufmerksamkeit.

Nutzer sollten Anwendungen ausschließlich aus vertrauenswürdigen Quellen installieren, Wireless Debugging deaktiviert lassen, wenn es nicht benötigt wird, und jede unerwartete Transaktion mit ihrer Bank überprüfen. Für Unternehmen bleibt die zentrale Überwachung mobiler Geräte, von Windows-Prozessen und des Zugriffs auf Finanzanwendungen unverzichtbar, da für diese drei Malware-Familien keine spezifischen Korrekturen verfügbar sind.