Android-Banking-Trojaner Anatsa (TeaBot): Wie Dropper-Apps den Google Play Store umgehen

Im Jahr 2024 hat die Sicherheitsforschung einen neuen Weg zur Verbreitung von Android-Banking-Malware aufgedeckt. Der Trojaner Anatsa, auch unter dem Namen TeaBot bekannt, nutzt als Träger eine scheinbar harmlose Anwendung - einen PDF Reader - die im offiziellen Google Play Store angeboten wird. Trotz der automatisierten Prüfungen von Google gelang es der Malware, Hunderttausende Android-Nutzer zu infizieren, Zugangsdaten von über 650 Finanz- und Krypto-Apps auszuspähen und Zwei-Faktor-Codes (SMS-OTPs) unbemerkt zu stehlen. Dieser Artikel beleuchtet die technischen Details des Dropper-Mechanismus, den Missbrauch von Android-Bedienungshilfen und die weltweite Reichweite des Angriffs.

Dropper-Mechanismus und Umgehung der Google-Play-Prüfung

Die im Play Store veröffentlichte App trug den Namen PDF Reader und versprach das Öffnen lokaler PDF-Dateien, inkl. passwortgeschützter Dokumente. Beim Upload enthielt die Anwendung jedoch keinen Schadcode - sie fungierte ausschließlich als Harmloser Loader (Dropper). Erst nach erfolgreicher Installation aktivierte sie eine zweite Phase:

• Die App prüft, ob sie in einer Analyse-Sandbox bzw. einem Testgerät läuft.
• Liegt keine Sandbox vor, kontaktiert sie externe Command-and-Control-Server (C2) und fordert ein vermeintliches Add-on oder Update an.
• Der heruntergeladene Payload ist der eigentliche Banking-Trojaner Anatsa, der anschließend im Hintergrund ausgeführt wird.

Durch diese nachgelagerte Schatztruhe kann die Anwendung die automatisierten Vorab-Scans von Google umgehen, weil der schädliche Code zum Zeitpunkt der Prüfung noch nicht vorhanden ist. Laut Zscaler ThreatLabz (2024) wurde das Verhalten zudem gezielt auf Testgeräte von Sicherheitsforschern unterdrückt, sodass die Malware im Analyse-Modus nicht aktiv wurde.

Ein weiterer Hinweis auf die Funktionsweise stammt aus einem t3n-Artikel (30.10.2026), der berichtet, dass die App bereits über 10.000 Installationen hatte, bevor Google das Paket und den Entwickleraccount "Duka Zuri" aus dem Store entfernte.

Warum herkömmliche Play-Store-Scans scheitern

Die zentrale Frage, warum die Malware die Sicherheitsmechanismen des Play Stores umgehen konnte, lässt sich wie folgt beantworten:

Wie gelangt Anatsa an den automatisierten Sicherheitsprüfungen des Play Stores vorbei? Die App wird zunächst ohne bösartigen Programmcode eingereicht und bietet reguläre PDF-Funktionen. Erst nach der Freigabe lädt sie den eigentlichen Trojaner verschleiert von externen Servern nach und unterdrückt dieses Verhalten auf Testgeräten von Sicherheitsforschern (Zscaler ThreatLabz 2024).

Dass die App Sicherheitsüberprüfungen passieren konnte, liegt an ihrer Architektur als sogenannter Dropper: Beim Hochladen in den Google Play Store verhielt sich die Anwendung unauffällig und bot die versprochene PDF-Funktionalität. Wie Analysen von Sicherheitsforschern (Zscaler ThreatLabz 2024) belegen, aktiviert die App ihre Schadfunktionen erst verzögert und prüft zunächst, ob sie in einer isolierten Testumgebung läuft. Die eigentliche Schadsoftware Anatsa wird erst nachgelagert über einen externen Server der Angreifer als angebliches Update nachinstalliert.

Missbrauch der Android-Bedienungshilfen (Accessibility Services)

Nachdem der Trojaner aktiv ist, fordert er bewusst die Berechtigung für Accessibility Services an - ein Feature, das ursprünglich für Barrierefreiheit entwickelt wurde. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) weist darauf hin, dass seit Android 7.0 diese Dienste tiefgreifende Systemrechte erhalten:

• Auslesen von Bildschirminhalten (Screen-Capture).
• Protokollieren von Tastatureingaben (Key-Logging).
• Einblenden von Overlay-Fenstern, die legitime Eingabeaufforderungen nachahmen.
• Abfangen von SMS-Nachrichten, insbesondere Einmal-Transaktionsnummern (OTPs) für 2-FA.

Durch diese Rechte kann Anatsa:

• Login-Daten von über 650 Finanz- und Krypto-Apps sammeln.
• SMS-Bestätigungscodes für Überweisungen im Hintergrund auslesen.
• Gefälschte Eingabemasken überlagern, sodass Nutzer ihre Zugangsdaten direkt an die Malware übermitteln.

Die Ziel-Android-Versionen reichen von Android 7 und höher (2024, BSI-Steckbrief).

Reichweite und betroffene Finanzinstitute

Die Schadkampagne hat globale Dimensionen:

• Mehr als 650 Finanzinstitute weltweit wurden als Ziel genannt (Zscaler ThreatLabz).
• Damit sind über 650 Bank- und Krypto-Apps potenziell gefährdet (2024, Quelle S1).
• Die betroffene PDF-Reader-App verzeichnete über 10.000 Installationen im Play Store, bevor sie entfernt wurde (Techbook, 2024, Quelle S3).

Die Angreifer nutzen die verbreitete Annahme, dass Apps aus dem offiziellen Store sicher seien, um das Vertrauen der Nutzer zu gewinnen. Der zweite Angriffsschritt - das Nachladen des Payloads - passiert jedoch nach der Installation, außerhalb der Reichweite der ursprünglichen Store-Prüfung.

Risiken, Gegenmaßnahmen und Empfehlungen

Betroffene sollten wissen, dass ein einfaches Deinstallieren nicht immer ausreicht. Anatsa implementiert Mechanismen, die den Entzug von Rechten oder die eigene Deinstallation blockieren. In schweren Fällen ist ein Zurücksetzen auf Werkseinstellungen nötig.

• Deinstallations-Blockade: Die Malware legt Overlay-Fenster an, die das Entfernen der App verhindern.
• Empfehlung: Wechsel in den abgesicherten Modus, deaktivieren der Accessibility Services und anschließend vollständige Deinstallation.
• Wenn das nicht funktioniert: Vollständiges Zurücksetzen des Geräts auf den Werkszustand (BSI-Hinweis).
• Nachbereitung: Alle betroffenen Logins ändern, verdächtige Banktransaktionen prüfen und ggf. die Bank informieren.
• Zusätzliche Schutzmaßnahme: Nutzung einer vertrauenswürdigen Antiviren-App, die tiefer im System nach versteckten Komponenten sucht.

Der t3n-Artikel rät den Betroffenen, nach dem Deinstallieren einer Antiviren-App zu setzen, um verbleibende Schadcode-Reste zu entfernen, und anschließend sämtliche Banking-Passwörter zu erneuern.