LONDON (IT BOLTWISE) – Zwei neue Sicherheitsberichte zeigen, wie sich finanzielle Schadsoftware parallel in Windows und Android weiterentwickelt: Grandoreiro nutzt DLL-Side-Loading mit WebRTC-Komponenten, um Bankkunden gezielt auszuspähen. BTMOB wird hingegen als Android-RAT im MaaS-Stil vertrieben und senkt damit für weniger versierte Akteure die Einstiegshürde. Gemeinsam verdeutlichen die Kampagnen, dass moderne Angriffe nicht nur auf technischen Exploits basieren, sondern auf Vertrauen, Traffic-Mimikry und Anti-Analyse-Checks.
Banking-Trojaner verschwinden nicht einfach aus dem Schlagzeilenzyklus – sie ändern vielmehr ihre Gesichter und verstecken sich dort, wo Unternehmen bereits Datenverkehr und Prozesse als „vertrauenswürdig“ einstufen. Wie aus aktuellen Beobachtungen hervorgeht, werden mit Grandoreiro und BTMOB zwei unterschiedliche Malware-Familien in Europa und Lateinamerika aktiv genutzt: Grandoreiro zielt auf Windows-Systeme, BTMOB auf Android. Auffällig ist dabei der gleichzeitige Trend zu modularen Lieferketten und „fertigen“ Bedienoberflächen, wodurch sich Taktiken schneller an Regionen, konkrete Banken und App-Ökosysteme anpassen lassen. Für Security-Teams bedeutet das: Oberflächliche Schutzmechanismen reichen allein nicht mehr.
Bei Grandoreiro steht eine Windows-spezifische Technik im Zentrum, die klassische Antiviren-Signaturen oft umgeht: das DLL-Side-Loading. Dabei wird eine rechtfertigende Softwarebasis missbraucht, um bösartige DLLs über dynamisches Laden in den Prozessfluss einzuschleusen – ohne dass zwingend ein offensichtlicher „Dropper“ im Vordergrund steht. Laut den Berichten zielt die Kampagne besonders auf Banken in Portugal; die Aktivität reicht zurück bis 2016 und soll sich trotz Ermittlungen weiter ausgedehnt haben. Zudem werden CAPTCHA-ähnliche Prüfungen genutzt, um automatisierte Analyseumgebungen zu verlangsamen und echte Benutzerpfade von Laborumgebungen zu unterscheiden.
Technisch wird die Kampagne noch konkreter, wenn man die Rolle der Kommunikationsmodule betrachtet. Mehrere der beteiligten DLLs wurden so konzipiert, dass sie WebSocket- und Real-Time-Funktionalität bereitstellen – inklusive Bausteinen für Peer-to-Peer- bzw. WebRTC-artige Datenflüsse. Dafür werden NAT-Hilfsmechanismen genutzt: einmal etwa STUN, um Geräte hinter NAT in der Lage zu versetzen, öffentliche IP und Ports zu ermitteln, und in anderen DLLs stattdessen Komponenten, die das Ziel über ICE-Logik erreichen. Dieses Vorgehen macht den Netzwerkverkehr für Verteidiger unhandlicher, weil Webkonferenz-ähnlicher Traffic häufig sowieso in Organisationen vorkommt.
Damit nicht genug: Zusätzlich enthalten die DLLs Bibliotheken, die für wiederverwendbare Funktionalität stehen, und sie verweisen ausdrücklich auf konkrete Zielbanken sowie Finanzinstitutionen. In den Beobachtungen tauchen Namen wie Abanca, Banco de Portugal, BBVA PT, Caixa Geral de Depósitos und Santander auf; außerdem werden auch Dienste wie Revolut und Wise adressiert. Entscheidend ist weniger die reine Ziel-Liste als die Idee dahinter: Kampagnen werden so gebaut, dass sie die nächsten Schritte bereits mitbringen – etwa durch programmierte Parameter, die spätere Phasen der Credential-Abgreifung beschleunigen. Historisch zeigt sich hier eine Kontinuität: Banking-Malware entwickelt sich vom „klassischen Formular-Diebstahl“ hin zu mehrstufigen Echtzeit-Interaktionen.
Im Marktbild zeigt sich, warum die Meldung für Entscheider so relevant ist. WatchGuard betont nicht nur, dass Grandoreiro „noch aktiv“ ist, sondern dass finanziell motivierte Gruppen ihre Verfahren rasch adaptieren: Sie greifen auf legitime Dienste zurück, tarieren ihre Signale im Netzwerkverkehr und nutzen Muster, die viele Organisationen bereits als erwartbar ansehen. Wettbewerbsbezug liefert in diesem Zusammenhang Kaspersky, das frühere Grandoreiro-Aktivitäten ebenfalls detailliert beschrieben hat. Für Unternehmen folgt daraus eine strategische Verschiebung: Statt allein auf Oberflächenabwehr zu setzen, müssen sie Erkennung stärker an Verhalten und Kontext knüpfen – etwa an Ladepfade von DLLs, an ungewöhnliche Accessibility-/Netzwerkmuster und an Anomalien rund um Social Engineering.
Parallel dazu liefert ESET Einordnung für BTMOB, eine Android-Remote-Access-Trojaner-Familie, die bereits seit Februar 2025 in Erscheinung tritt. Die Funktionen gehen über reine Bildschirmaufnahme und Tastenprotokollierung hinaus: Das Tool kann Geräte sperren oder entsperren, Screenshot-Metadaten liefern und Credential-Diebstahl durch HTML-Injection automatisieren, sobald bestimmte Apps geöffnet werden. Besonders kritisch ist die Nutzung von Accessibility-Services: Nach der Installation versucht die Malware, zusätzliche Rechte ohne direkte Benutzereingriffe zu erweitern – ein Schritt, der in der Praxis oft schwer zu beobachten ist, solange Nutzer den nötigen Berechtigungen zustimmen. In späteren Iterationen wurde zusätzlich das Abgreifen von Alipay-PINs beschrieben.
Der eigentliche Markteinbruch liegt jedoch im Betriebsmodell. BTMOB wird als Malware-as-a-Service (MaaS) angeboten, inklusive APK-Builder-Interface: Kunden können damit neue Payloads generieren und Phishing-Lures regional anpassen, ohne selbst Code zu schreiben. Die Pakete werden über Preisstufen vermarktet, und die Veröffentlichung von Builder- und Server-Komponenten senkt die Einstiegshürde weiter. Medienberichte und Analysen weisen außerdem darauf hin, dass geleakte Versionen in Underground-Foren und über Messenger-Kanäle zirkulieren; dadurch kann sich ein Ökosystem aus Copycats und Weiterverkäufern bilden. D3Lab beschreibt im Kontext eines geleakten Entwicklungstools, dass nicht nur Code, sondern auch Lizenzierung, Authentifizierung und Versionskontrolle als „Service“ durchgesetzt werden.
Für die Zukunft ergibt sich daraus ein klarer Handlungsdruck: Angreifer kombinieren immer häufiger Phishing mit „normal wirkendem“ Traffic, Missbrauch legitimer Kommunikationspfade und Anti-Analyse-Checks, um Surface-Level-Defenses auszutricksen. Wenn BTMOB bereits eine Version wie 4.5.5 mit Fokus auf Geschwindigkeit, Stabilität und Kompatibilität mit aktuellen Play-Updates beansprucht, ist zu erwarten, dass weitere Iterationen schneller auf Änderungen im Mobilbetriebssystem reagieren. Unternehmen sollten deshalb ihre Abwehr stärker in Richtung mehrschichtiger Telemetrie ausbauen: verhaltensbasierte Detektion von Side-Loading und ungewöhnlichen Kommunikationsbibliotheken auf Windows sowie strikte Governance rund um Accessibility-Berechtigungen auf Android. Die größte Risikoquelle wird dabei weniger die einzelne Kampagne sein, sondern die Skalierung durch MaaS – ein Trend, der das Innovations-Tempo in der Angriffslandschaft weiter erhöht.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Grandoreiro- und BTMOB-Kampagnen: Banking-Trojaner mit DLL-Side-Loading und Android-RAT als MaaS" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Grandoreiro- und BTMOB-Kampagnen: Banking-Trojaner mit DLL-Side-Loading und Android-RAT als MaaS" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Grandoreiro- und BTMOB-Kampagnen: Banking-Trojaner mit DLL-Side-Loading und Android-RAT als MaaS« bei Google Deutschland suchen, bei Bing oder Google News!