LONDON / LONDON (IT BOLTWISE) – Sicherheitsforscher haben Details zu einem neuen Android-Banking-Trojaner namens StreamRat veröffentlicht. Über eine gefälschte TV-Streaming-Kampagne in Meta-Anzeigen wurde er offenbar an spanischsprachige Nutzer verteilt. Nach der Installation und nach der Freigabe von Accessibility kann die Schadsoftware Tastatureingaben auslesen, Inhalte überlagern und das Gerät fernsteuern. Entscheidend für Betroffene ist die Beobachtung von ungewöhnlichen Berechtigungsanfragen, insbesondere wenn eine Streaming-App systemweite Kontrolle fordert.
Mit StreamRat taucht offenbar eine neue Android-Banking-Malware auf, die nicht nur Kontodaten abgreift, sondern nach der erfolgreichen Freigabe von zentralen Systemrechten sehr weitreichende Kontrolle über das Endgerät gewinnt. Laut ThreatFabric wurde die Schadsoftware über eine Social-Media-Lure verbreitet, die als vermeintliche TV-Streaming-Seite in Erscheinung trat. Die Kampagne zielte in erster Linie auf spanischsprachige Nutzer, und die Analyse beschreibt dabei eine technische Kette, die von der Werbung bis zur Installation des APK führt. Für die Praxis ist vor allem die Kombination aus „Accessibility“-Missbrauch und der Fähigkeit zur Interaktion mit Benutzeroberflächen relevant, weil genau diese Rechte im Alltag typischerweise für Barrierefreiheit gedacht sind, aber hier zur Übernahme dienen.
Der entscheidende Schritt beginnt, sobald der Nutzer auf der beworbenen Seite eine Datei mit dem Namen „app.apk“ lädt und startet. Der Installer (Dropper) versucht dann, sich als Default Home-Anwendung zu etablieren, damit der Nutzer nach jedem Druck auf die Home-Schaltfläche wieder in die Angriffsoberfläche zurückgeführt wird. Auffällig ist außerdem die nächste Berechtigungsstufe: Vor dem Abruf der finalen Payload fordert der Dropper die Erlaubnis zum Aufbau einer VPN-Verbindung. Wird dies genehmigt, leitet das VPN den Geräteverkehr in eine nicht funktionale Schnittstelle um, während der Dropper selbst von der Weiterleitung ausgenommen bleibt. Der praktische Effekt ist zweifach: andere Apps verlieren während der Installation vorübergehend die Internetverbindung, und gleichzeitig sinkt die Wahrscheinlichkeit, dass dynamische Analysen oder Reputations-Checks in kurzer Zeit erfolgreich laufen.
Technisch setzt StreamRat danach auf eine mehrstufige Zugriffserweiterung. Sobald die Payload gestartet wird, verlangt sie Accessibility-Zugriff. Mit aktivierter Accessibility-Option kann die Malware nach ThreatFabric Tastatureingaben erfassen, Credential-Stealing-Overlays einblenden, die sichtbare Benutzeroberfläche auslesen und das Gerät aus der Ferne steuern. Für das Sichtbarkeitsproblem ist zudem wichtig, wie die Schadsoftware Bildschirmdaten bereitstellt: Bei einer Variante nutzt sie MediaProjection über die Android-API, was normalerweise einen Zustimmungsdialog und einen Screen-Sharing-Indikator auslöst. Nach dem Einverständnis kann StreamRat den Dialog per Accessibility nachbearbeiten. Eine zweite Betriebsart greift auf das Accessibility-„takeScreenshot()“-Verfahren zurück, um Bilddaten außerhalb des MediaProjection-Indikators zu erfassen. Diese Trennung zielt darauf, Nutzererkennung und Sicherheitsheuristiken zu umgehen, die sich oft auf den expliziten Screen-Sharing-Status verlassen.
Im Verbreitungsweg nennen die Forscher eine Meta-werbliche Platzierung, bei der die Anzeige bis zu 570.950 Meta-Konten in der Europäischen Union erreicht haben soll, die den Inhalt mindestens einmal gesehen haben. Eine exakte Zahl kompromittierter Geräte oder bestätigter Opfer blieb in der Veröffentlichung jedoch aus. Die Meta-Kampagne lief nach Angaben der Analyse vom 11. Juni 2026 bis zum 3. Juli 2026 und wurde Ende Juli 2026 identifiziert; veröffentlicht wurde der Bericht am 2. September 2026. Darüber hinaus soll StreamRat auch über TikTok beworben worden sein. Als TikTok-spezifischer öffentlicher Beleg wird in der Untersuchung nur Code genannt, der TikTok als verweisende App erkennen kann; konkrete TikTok-Ad-Daten oder Reach-Zahlen wurden nicht geliefert. Für die Einordnung bedeutet das: Der Kernmechanismus wirkt plattformübergreifend, während die belegte Reichweite je Kanal bislang unterschiedlich belastbar ist.
Wie bei vielen Android-Angriffen hängt die Wirksamkeit eng an Installationsverhalten und Berechtigungsanfragen. ThreatFabric weist ausdrücklich darauf hin, dass Nutzer die Installation abbrechen sollten, sobald eine vermeintliche Streaming-App Systemkontrollen verlangt, die nicht zum Streaming gehören. Die Malware wird in der Analyse außerdem über den Home-Mechanismus sowie die „unknown sources“-Installation vorbereitet: Der Dropper lädt die Payload in das öffentliche Downloads-Verzeichnis und installiert sie anschließend über den Android-Paketinstallationsmechanismus, nachdem die Erlaubnis für Apps aus unbekannten Quellen erteilt wurde. Dass Google Play Protect Offline-Erkennung für bekannte potenziell schädliche Apps beibehält, begrenzt nach der Einschätzung von ThreatFabric die Effektivität „hinterher“, schließt aber nicht aus, dass frische oder noch nicht bekannte Varianten kurzfristig durchrutschen. In der Veröffentlichung werden zudem konkrete IoCs genannt, darunter SHA-256-Hashes für das APK sowie ein C2-Setup über IP-Adressen wie 45.147.28[.]59 und 193.32.2[.]245.
Auch die Entwicklungs- und Lieferkette stützt das Bild, dass es sich nicht um ein „One-off“-Experiment handelt. ThreatFabric beschreibt, dass die StreamRat-Payload von einem GitHub-Konto kam, das mit einer früheren Mirax-Kampagne verknüpft wurde, und dass der Dropper dieser Operation stark ähnelt. Zusätzlich wird erwähnt, dass die Dropper über GitHub Releases gehostet werden, inklusive unterschiedlicher Backup-Links und täglicher Paket-Updates. Für Sicherheitsverantwortliche ergibt sich daraus ein klares Muster: Die eigentliche Gefahr entsteht weniger durch eine einzelne Funktion, sondern durch die orchestrierte Abfolge aus Berechtigungs-„Kaskade“, UI-Interaktion via Accessibility, Screen-Erfassung über zwei Wege und der temporären VPN-Störung während der Installation. Unterm Strich sollten Unternehmen und Behörden ihre Security-Prozesse daher weniger auf einzelne APK-Signaturen als auf Verhaltensmuster ausrichten, etwa auf ungewöhnliche Anfragen nach Home-Rechten, VPN-Berechtigungen und Accessibility-Zugriff bei vermeintlichen Multimedia-Apps.
Für die nächsten Schritte in der Praxis gilt vor allem, dass diese Art von Angriffen besonders schwer zu „detektieren“ ist, wenn die Nutzeraktionen bereits erfolgt sind. Wer Geräte verwaltet, kann an mehreren Stellen ansetzen: mobile MDM-Policies, restriktive Regeln für „unknown sources“, technische Kontrollen gegen APK-Installationen außerhalb kontrollierter Stores sowie Awareness-Kampagnen für Berechtigungsanfragen, die nicht zur beworbenen App passen. StreamRat zeigt zudem, wie eng Social-Engineering und technische Ausführung verzahnt sind: Die Werbung führt zu einer maßgeschneiderten Downloadseite, die das Betriebssystem prüft, und erst danach startet die Installationsroutine. Gerade weil die untersuchten Kampagnendaten eine zeitlich klar begrenzte Aktion widerspiegeln, lohnt sich für Teams eine häufigere Auswertung von Werbe- und Redirect-Indikatoren, statt sich ausschließlich auf klassische Malware-Signaturen zu verlassen.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "StreamRat: Neuer Android-Banking-Trojaner über Meta & TikTok mit nahezu kompletter Geräte-Übernahme" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "StreamRat: Neuer Android-Banking-Trojaner über Meta & TikTok mit nahezu kompletter Geräte-Übernahme" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »StreamRat: Neuer Android-Banking-Trojaner über Meta & TikTok mit nahezu kompletter Geräte-Übernahme« bei Google Deutschland suchen, bei Bing oder Google News!