Aktuell stehen gleich mehrere Banking-Trojaner im Fokus. Sicherheitsforschende berichten über neue beziehungsweise weiterentwickelte Varianten, die weltweit Nutzerinnen und Nutzer ins Visier nehmen. Solche Schadprogramme sind darauf ausgelegt, Zugangsdaten abzugreifen, sensible Informationen zu entwenden und kompromittierte Geräte aus der Ferne zu steuern.
Im Folgenden ordnen wir die wichtigsten Erkenntnisse zu Manic, Grandoreiro und ToxicPanda 2.0 ein – inklusive der Methoden, mit denen Angreifer Nutzer über Mobiltelefone und PCs ausnutzen.
Warum Banking-Trojaner so gefährlich sind
Banking-Trojaner gehen oft über das reine Auslesen von Daten hinaus. In der Praxis ermöglichen sie es Angreifern, Phishing-Zugangsdaten abzugreifen, Benutzerdaten zu stehlen und damit anschließend Betrug zu treiben. Zusätzlich können sie die Kontrolle über ein Gerät übernehmen, etwa um Aktionen zu automatisieren oder gezielt weitere Schritte auszuführen.
Je nach Malware-Variante werden hierfür unterschiedliche Techniken eingesetzt: von täuschend echten Login-Ansichten über das systematische Sammeln von Informationen bis hin zu Funktionen, die Fernzugriff und Steuerung ermöglichen.
Manic: Android-Trojaner mit Banking- und Spyware-Funktionen
Manic wird als Android-Malware beschrieben, die Fähigkeiten eines Banking-Trojaners mit denen einer Spyware kombiniert. Laut den verfügbaren Informationen wurde Manic vor allem gegen Ziele in der Ukraine eingesetzt. Dazu zählten unter anderem Banken, staatliche Dienste sowie Messaging-Anwendungen. Gleichzeitig beobachteten Forschende auch Angriffe gegen Finanzinstitute in Russland und Europa sowie auf globale Krypto- und Fintech-Angebote.
Auch militärisch ausgerichtete Messaging-Dienste gerieten in den Bericht. Die Verbreitung soll über manipulierte Webseiten und sogenannte Drops erfolgen, also über Komponenten, die Schadcode nachladen.
Wie Manic Opfer ausspäht und täuscht
- Tastatureingaben aufzeichnen (Keylogging), um Zugangsdaten zu sammeln.
- Phishing-Bildschirme anzeigen, die Nutzer zum Eingeben sensibler Daten verleiten.
- Fernsteuerung des kompromittierten Telefons für Banking- und Krypto-Fraud.
Darüber hinaus umfasst Manic Spyware-typische Funktionen wie Benachrichtigungsüberwachung, Standortermittlung, Dateisammlung sowie Gerätebeobachtung aus der Ferne.
Offline-Mesh-Relay als Besonderheit
Ein besonders auffälliges Detail ist die Fähigkeit zu einem Offline-Mesh-Relay. Wenn direkter Zugriff auf die Kommando- und Kontrollinfrastruktur nicht möglich ist, soll die gesammelte Information über benachbarte infizierte Geräte weitergeleitet werden – beispielsweise per Wi‑Fi Direct oder Bluetooth. Dadurch kann Datenverkehr umgeleitet werden, selbst wenn zentrale Anbindung ausfällt.
Grandoreiro bleibt aktiv: Windows-Trojaner mit Fokus auf Lateinamerika
Der Grandoreiro-Banking-Trojaner ist weiterhin aktiv. Sicherheitsforschende weisen darauf hin, dass vor allem Nutzerinnen und Nutzer in Lateinamerika im Mittelpunkt stehen. Allerdings wurde Grandoreiro bereits in früheren Aktivitäten auch in Europa gesichtet.
In jüngsten Kampagnen, die beobachtet wurden, lag der Schwerpunkt offenbar besonders stark auf Mexiko. Gleichzeitig gilt: Trotz früherer Anstrengungen von Strafverfolgungsbehörden, die Infrastruktur zu stören, bleibt die Malware im Umlauf und entwickelt sich weiter.
DLL-Sideloading über legime Tools
Aktuelle Beispiele sollen eine legitime Anwendung namens Duplicate Files Finder (DFF) missbrauchen, um über DLL sideloading bösartigen Code auszuführen. Das hat zwei Vorteile für Angreifer: Die Aktivitäten können sich an normale Software-Nutzung annähern, und die Schadfunktion lässt sich leichter tarnen.
Anti-Analyse als vorrangiges Ziel
Ein weiterer Aspekt ist der ausgeprägte Fokus auf das Umgehen automatisierter Analyse. In den beschriebenen Samples findet sich eine umfangreiche Anti-Analyse-Logik, unter anderem mit:
- Sandbox-Erkennung und Prüfung auf Artefakte virtueller Maschinen.
- Prozess-Blacklisting, also dem Vermeiden bestimmter Analyseumgebungen.
- Umgebungsprofiling, um Systeme zu identifizieren, die nicht dem realen Zielgerät entsprechen.
Laut den vorliegenden Erklärungen werden diese Prüfungen ausgeführt, bevor die Malware überhaupt versucht, Kontakt mit der Kommando- und Kontrollinfrastruktur aufzunehmen. Das deutet darauf hin, dass das Verhindern von Analyse einen hohen Stellenwert für die Betreiber hat.
ToxicPanda 2.0: Mehr Kommandos, breitere Zielauswahl
Auch ToxicPanda 2.0 steht im Zusammenhang mit aktuellen Warnmeldungen. Eine mobile Sicherheitsfirma hat eine aktualisierte Variante beschrieben, die vor allem Europa ins Visier nimmt. Gegenüber älteren Versionen bringt die neue Ausgabe spürbare Änderungen mit.
Ein Schwerpunkt liegt dabei auf der Erweiterung der Steuerungsmöglichkeiten: ToxicPanda 2.0 unterstützt nun 167 Fernkommandos, während frühere Versionen lediglich auf etwa 16 Anwendungen ausgerichtet waren. Zusätzlich wurde die Ziel-Liste auf fast 350 finanzielle Anwendungen erweitert.
Ziele in mehreren Ländern
Die aktuelle Kampagne soll Finanzinstitute in 16 Ländern anvisieren. Genannt werden unter anderem Pakistan, Südafrika, Mexiko, Nigeria, Indien, Indonesien und Panama. Das zeigt, dass der Angriff nicht auf eine einzelne Region beschränkt bleibt.
ADB-Missbrauch für Rechteerweiterung
Besonders relevant ist außerdem ein automatisierter Mechanismus, der auf den Missbrauch von Android Wireless Debugging (ADB) abzielt. Dadurch sollen sich bei kompromittierten Geräten privilegierte Rechte erlangen lassen. In der Folge entsteht Shell-Zugriff auf dem betroffenen Endgerät.
Mit anderen Worten: Der Trojaner ist nicht nur darauf aus, Daten zu sammeln oder Eingaben zu manipulieren, sondern kann sich auch selbst besser ausstatten, um im Gerät weiter zu agieren.
Lieferweg über Cloud-Speicher
Die Berichte nennen zudem eine Veränderung beim Vertriebsweg. Demnach werden Proben von ToxicPanda 2.0 über Amazon-AWS-gehostete Buckets ausgeliefert. Angreifer nutzen solche Cloud-Infrastrukturen, um Schadsoftware bereitzustellen und die Verteilung flexibler zu gestalten.
Was Unternehmen und Nutzer jetzt ableiten können
Die drei Fälle zeigen ein wiederkehrendes Muster: Banking-Trojaner entwickeln sich ständig weiter, passen ihre Ziele an und investieren viel Aufwand in Tarnung sowie die Umgehung von Sicherheitsanalysen. Für Verteidigung bedeutet das: Es reicht nicht, nur auf bekannte Signaturen zu setzen.
Praktisch lassen sich aus den beschriebenen Techniken einige wichtige Lehren ableiten:
- Vorsicht bei unerwarteten Anwendungen und bei Downloads aus unzuverlässigen Quellen, da mehrere Varianten über manipulierte Wege oder legime Umgebungen getarnt werden.
- Sensibilisierung für Phishing: Wer auf täuschend echte Eingabemasken hereinfällt, liefert Angreifern genau die Daten, die solche Trojaner auswerten.
- Strenge Gerätehygiene: Je weniger Angriffsfläche besteht (z. B. durch aktuell gehaltene Systeme und kontrollierte Berechtigungen), desto schwerer wird die Eskalation.
Außerdem gilt: Monitoring und Incident-Response profitieren davon, wenn verdächtige Aktivitäten (etwa unerwartetes Verhalten von Apps oder ungewöhnliche Verbindungsversuche) frühzeitig erkannt werden.
Fazit: Banking-Trojaner im Fokus bleiben
Zusammenfassend verdeutlichen die aktuellen Hinweise zu Banking-Trojanern im Fokus, wie vielschichtig moderne Angriffe sind. Manic kombiniert Android-Banking-Funktionen mit Spyware und setzt sogar auf ein Offline-Relay-Konzept. Grandoreiro bleibt mit Windows-Techniken aktiv, nutzt legitime Software als Tarnung und priorisiert Anti-Analyse. ToxicPanda 2.0 erweitert Steuerung und Zielauswahl deutlich und treibt den Angriff über ADB-Missbrauch voran.
Wer sich schützen will, sollte daher nicht nur auf einzelne Schutzmaßnahmen vertrauen, sondern konsequent auf Prävention, Aufmerksamkeit und eine schnelle Reaktion bei Verdachtsmomenten setzen.
Quelle: https://www.securityweek.com/banking-trojans-manic-grandoreiro-toxicpanda-2-0-in-the-spotlight/
