Eine vermeintlich harmlose Android-App zum Öffnen von PDF-Dateien kann zur Gefahr für das Online-Banking werden. Sicherheitsforscher des Unternehmens Zscaler haben eine Anwendung entdeckt, die den Banking-Trojaner Anatsa auf Smartphones nachladen kann. Der als PDF Reader mit Banking-Trojaner identifizierte Download erreichte im offiziellen Google Play Store mehr als 10.000 Installationen. Betroffene sollten nicht nur die Anwendung entfernen, sondern auch ihre Bankzugänge überprüfen und absichern.
Bei der auffälligen Anwendung handelt es sich um eine App namens „PDF Reader“, die unter dem Entwicklernamen Duka Zuri angeboten wurde. Eindeutig zuordnen lässt sie sich anhand ihrer technischen Paketkennung:
com.railforge.footplate.documentreader_pdfviewer
Das Sicherheitsteam Zscaler ThreatLabz machte am 8. Oktober 2026 auf die Anwendung aufmerksam. Die Forscher identifizierten sie als sogenannten Installer für Anatsa. Dabei handelt es sich um eine Software, deren Aufgabe darin besteht, ein weiteres Schadprogramm auf das Gerät zu bringen.
Die Experten veröffentlichten technische Erkennungsmerkmale der Anwendung und der nachgeladenen Schadsoftware. Dazu gehören digitale Prüfsummen und Adressen von Servern, die mit der Verbreitung beziehungsweise Steuerung der Schadsoftware in Verbindung stehen.
Die App erreichte nach Angaben der Sicherheitsforscher mehr als 10.000 Installationen. Wie viele Smartphones tatsächlich mit dem Banking-Trojaner infiziert wurden, ist allerdings nicht bekannt. Ebenso liegen keine bestätigten Angaben über gestohlene Geldbeträge oder die Zahl kompromittierter Bankkonten vor.
Die Schadsoftware Anatsa, auch unter der Bezeichnung TeaBot bekannt, ist bereits seit mehreren Jahren aktiv. Ihre Aufgabe besteht darin, sensible Informationen aus Banking-Anwendungen abzugreifen und unberechtigte Transaktionen zu ermöglichen.
Zscaler hat die Funktionsweise entsprechender Angriffskampagnen bereits mehrfach untersucht. Dabei nutzen die Angreifer zunächst Anwendungen, die gewöhnliche Aufgaben wie das Öffnen von Dokumenten übernehmen sollen. Die eigentliche Schadsoftware wird erst nach der Installation aus dem Internet geladen.
Auf diese Weise kann eine zunächst unauffällig wirkende Anwendung später gefährliche Funktionen erhalten.
In früheren Anatsa-Kampagnen wurde das Nachladen der Schadsoftware als vermeintliches Update getarnt. Die Programme verwendeten außerdem technische Verfahren, mit denen sie automatisierte Sicherheitsanalysen erschweren konnten.
Für die im Oktober 2026 entdeckte PDF-App ist nicht abschließend dokumentiert, welche dieser Funktionen im Einzelnen zum Einsatz kamen. Die Verbindung zum Anatsa-Trojaner wurde von ThreatLabz jedoch ausdrücklich festgestellt.
Besonders kritisch ist der mögliche Zugriff auf die Bedienungshilfen von Android. Diese Funktionen sollen Menschen mit Einschränkungen die Nutzung ihres Smartphones erleichtern. Sie können Anwendungen aber auch weitreichende Möglichkeiten zur Steuerung und Beobachtung anderer Programme eröffnen.
Frühere Varianten von Anatsa nutzten entsprechende Berechtigungen, um zusätzliche Zugriffsrechte zu erhalten. Dazu gehörten das Lesen von SMS und das Einblenden eigener Fenster über anderen Anwendungen.
Der Trojaner kann außerdem nach installierten Banking-Apps suchen. Erkennt er eine unterstützte Anwendung, lässt sich eine gefälschte Anmeldeseite über die tatsächliche Oberfläche legen.
Wer seine Zugangsdaten dort eingibt, kann diese unbemerkt an die Angreifer übermitteln. Auch Sicherheitscodes, die Banken per SMS verschicken, können bei entsprechenden Berechtigungen abgefangen werden.
In einer technischen Untersuchung vom August 2025 beschrieb Zscaler Anatsa-Varianten, die auf mehr als 831 Finanzinstitute und Finanzanwendungen weltweit ausgerichtet waren. Zu den betroffenen Zielregionen gehörte auch Deutschland.
Ob die nun entdeckte PDF-App dieselben Finanzinstitute ins Visier nahm, ist nicht bestätigt.
Die verdächtige Anwendung war zunächst über den offiziellen Google Play Store erhältlich. Das ist besonders relevant, weil viele Android-Nutzer den App-Marktplatz als vertrauenswürdige Bezugsquelle ansehen.
Der konkrete Store-Eintrag ist inzwischen nicht mehr öffentlich erreichbar. Eine ausdrückliche Bestätigung von Google, wann und aus welchem Grund die Anwendung entfernt wurde, lag zunächst nicht vor.
Google verfügt mit Play Protect über einen integrierten Schutzmechanismus, der installierte Anwendungen überprüft. Nach Angaben des Unternehmens kann der Dienst vor erkannten Gefahren warnen, schädliche Apps deaktivieren oder sie automatisch entfernen.
Ob und in welchem Umfang diese Schutzmaßnahmen bei der betroffenen PDF-App eingesetzt wurden, ist nicht gesichert.
Auch ein verschwundener Store-Eintrag bedeutet nicht automatisch, dass die Anwendung und möglicherweise nachgeladene Schadsoftware bereits von allen Smartphones entfernt wurden.
Android-Nutzer, die einen PDF Reader installiert haben, sollten zunächst die Liste ihrer Anwendungen kontrollieren. Diese ist üblicherweise über die Geräteeinstellungen unter „Apps“ erreichbar.
Besondere Aufmerksamkeit verdient die Anwendung des genannten Entwicklers Duka Zuri. Die technische Paketkennung ermöglicht eine genauere Zuordnung. Die Darstellung dieser Information hängt allerdings vom jeweiligen Android-Gerät ab.
Wird die betroffene App gefunden, sollte sie deinstalliert werden. Zusätzlich empfiehlt es sich, in den Android-Einstellungen die Zugriffsrechte für Bedienungshilfen und SMS zu überprüfen. Unbekannten Anwendungen sollten nicht benötigte Berechtigungen entzogen werden.
Wer eine Infektion vermutet, sollte das Smartphone vorsorglich vom Internet trennen und vorerst nicht mehr für Bankgeschäfte verwenden.
Über den Google Play Store lässt sich unter dem Menüpunkt „Play Protect“ außerdem eine Sicherheitsüberprüfung starten. Google empfiehlt, diese Schutzfunktion aktiviert zu lassen und vorhandene Android-Sicherheitsupdates zu installieren.
Allein durch die Deinstallation einer verdächtigen App sind möglicherweise bereits ausgespähte Zugangsdaten nicht wieder geschützt.
Wer den betroffenen PDF Reader installiert hatte, insbesondere wenn weitreichende Berechtigungen erteilt wurden, sollte deshalb seine Bank informieren. Das Geldinstitut kann prüfen, ob der Online-Banking-Zugang gesperrt und das verwendete Freigabeverfahren neu eingerichtet werden muss.
Passwörter und Zugangsdaten sollten ausschließlich über ein anderes, vertrauenswürdiges Gerät geändert werden. Das gilt neben dem Online-Banking auch für wichtige E-Mail-Konten und gegebenenfalls das Google-Konto.
Besonders wichtig ist die Überprüfung der Kontoumsätze. Unbekannte Überweisungen oder andere nicht autorisierte Buchungen müssen unverzüglich der Bank gemeldet werden.
Bei Verdacht auf einen unberechtigten Kontozugriff sollte der Online-Banking-Zugang umgehend gesperrt werden. Neben der direkten Kontaktaufnahme mit der Bank kommt dafür gegebenenfalls der zentrale Sperr-Notruf 116 116 infrage, sofern das betreffende Institut die entsprechende Sperrfunktion unterstützt.
Wer unberechtigte Transaktionen entdeckt, sollte außerdem Strafanzeige bei der Polizei erstatten.
Besteht der Verdacht einer tatsächlichen Infektion fort, kann das vollständige Zurücksetzen des Smartphones auf die Werkseinstellungen notwendig sein. Darauf weisen auch staatliche Cybersicherheitsstellen bei der Behandlung von Schadsoftware hin. Wichtige persönliche Dateien sollten zuvor gesichert werden, ohne verdächtige Anwendungen anschließend erneut einzuspielen.
Der aktuelle Fall zeigt eine Schwachstelle bei der Verbreitung mobiler Schadsoftware. Nicht immer enthält eine verdächtige Anwendung bereits bei ihrer Installation alle gefährlichen Bestandteile. Teilweise wird schädlicher Programmcode erst nachträglich geladen.
Deshalb genügt es nicht, ausschließlich auf den Namen einer App oder ihre Verfügbarkeit im offiziellen Store zu achten.
Ungewöhnliche Berechtigungsanfragen sind ein wichtiger Warnhinweis. Eine gewöhnliche Anwendung zum Lesen von PDF-Dateien benötigt beispielsweise weder umfassenden Zugriff auf die Android-Bedienungshilfen noch die Möglichkeit, SMS-Nachrichten auszulesen.
Die Gefahr betrifft dabei nicht sämtliche PDF-Reader für Android, sondern die konkret identifizierte Anwendung und vergleichbare Schadprogramme.
Wie viele Menschen durch die aktuelle Anatsa-Kampagne tatsächlich geschädigt wurden, blieb zunächst offen. Für Nutzer, die die betroffene App installiert haben, besteht dennoch konkreter Handlungsbedarf, insbesondere wenn das Smartphone zugleich für Online-Banking oder die Freigabe von Zahlungen verwendet wurde.
Texte werden mit Unterstützung von KI-Tools erstellt und vor Veröffentlichung redaktionell geprüft. Mehr dazu