Sturnus-Trojaner umgeht WhatsApp-Verschlüsselung mit perfider Taktik

Frankfurt/Mountain View – Ein hochentwickelter Banking-Trojaner schockiert Sicherheitsexperten. Die Malware “Sturnus” hebelt die Ende-zu-Ende-Verschlüsselung von WhatsApp, Signal und Telegram aus – und macht Nutzer während des Diebstahls mit einem “Black Screen” blind.

Seit gestern ist klar: Die Bedrohung für Android-Nutzer hat eine neue Dimension erreicht. Während Google seine Schutzmaßnahmen kontinuierlich verbessert, haben Cyberkriminelle eine Waffe entwickelt, die technische Sicherheitsvorkehrungen nicht nur umgeht, sondern gezielt gegen den Nutzer wendet.

ThreatFabric veröffentlichte am 20. November erste Details. Gestern bestätigten weitere Analysen von MTI Security das volle Ausmaß: Sturnus zielt nicht mehr nur auf Bankdaten ab, sondern kompromittiert die als sicher geltenden Messenger durch aggressive Ausnutzung der Android-Barrierefreiheitsdienste.

Passend zum Thema Android-Sicherheit: Viele Nutzer wissen nicht, wie sie WhatsApp, Banking-Apps und Messenger vor ausgeklügelter Malware schützen. Gerade Angriffe wie Sturnus missbrauchen Accessibility-Services und Sideloading-Lücken – oft reicht eine falsche Berechtigung. Das kostenlose Sicherheitspaket erklärt die fünf wichtigsten Schutzmaßnahmen für Ihr Android mit klaren Schritt-für-Schritt-Anleitungen: Berechtigungen prüfen, Sideloading verhindern, Play Protect nutzen und mehr. Sichern Sie Ihre Daten noch heute. Gratis per E‑Mail. Jetzt kostenloses Android-Sicherheitspaket anfordern

Das beunruhigendste Merkmal: Sturnus hebelt die Ende-zu-Ende-Verschlüsselung moderner Messenger aus. Anders als herkömmliche Angriffe, die den Datenverkehr abfangen wollen, greift der Trojaner dort zu, wo Daten unverschlüsselt vorliegen – auf dem Bildschirm des Nutzers.

Die Malware missbraucht die Accessibility Services von Android. Sobald das Opfer WhatsApp oder Signal öffnet, liest die Software den Bildschirminhalt in Echtzeit aus. Sicherheitsforscher sprechen von “Screen Scraping”.

“Sturnus wartet nicht auf eine Überweisung. Er liest mit, was Sie tippen und sehen – lange bevor eine Verschlüsselung greift,” warnen die Experten. Die Angreifer erhalten Zugriff auf private Nachrichten und können sogar Zwei-Faktor-Codes abfangen, die per SMS oder Messenger eintreffen.

Der perfide “Black Screen”-Trick

Eine weitere Funktion macht Sturnus besonders gefährlich: der VNC-Modus in Kombination mit einem schwarzen Overlay. Die Angreifer können das Gerät fernsteuern – während der Nutzer nichts davon mitbekommt.

Sobald die Kriminellen genügend Rechte gesammelt haben, legen sie ein schwarzes Overlay über den Bildschirm. Für den Nutzer sieht es aus, als sei das Smartphone abgestürzt. Im Hintergrund räumen die Angreifer jedoch Bankkonten leer, bestätigen Berechtigungen und ändern Sicherheitseinstellungen.

Sturnus tarnt sich dabei oft als harmloses System-Update oder Browser-Erweiterung – getarnt als “Google Chrome Update” oder “Preemix Box”. Die Malware gelangt über Sideloading auf das Gerät, also durch das Herunterladen von Apps außerhalb des Google Play Stores.

Googles Gegenmaßnahmen laufen

Google rollt derzeit neue Schutzmaßnahmen aus. Das Play System Update vom November 2025 enthält kritische Verbesserungen für die “System Management Services”, die den Missbrauch der Barrierefreiheit erschweren sollen.

Google Play Protect wurde ebenfalls geschärft. Die Sicherheitssoftware scannt nun aggressiver nach Apps, die untypische Berechtigungen anfordern – insbesondere den Zugriff auf Bildschirminhalte und Eingabehilfen.

Experten empfehlen dringend:

• Kein Sideloading: Installieren Sie keine APK-Dateien von Webseiten oder aus Links
• Berechtigungen prüfen: Kontrollieren Sie unter “Bedienungshilfen”, welche Apps Zugriff haben
• Updates installieren: Stellen Sie sicher, dass das Sicherheits-Patch-Level November 2025 installiert ist

Eine neue Generation von Hybrid-Trojanern

Sturnus markiert einen Trend zu “Hybrid-Trojanern”, die klassische Banking-Funktionen mit Spyware-Fähigkeiten vereinen. Während die ToxicPanda-Malware aus Asien nach Europa vordrang, zeigt Sturnus eine noch stärkere Fokussierung auf die totale Geräteübernahme.

Im Gegensatz zu älteren Kampagnen agieren moderne Angreifer nicht mehr blind. Sie nutzen Echtzeit-Überwachung, um Bankbetrug manuell und präzise durchzuführen. Die gezielte Ausrichtung auf Bankkunden in Süd- und Zentraleuropa deutet auf eine koordinierte Kampagne hin.

Weihnachtszeit als Hochsaison für Angriffe?

Sicherheitsanalysten erwarten eine Zunahme solcher Angriffe zur Weihnachtszeit. Die Kombination aus vermehrtem Online-Shopping und gefälschten Paket-Benachrichtigungen bietet ideale Verbreitungsmöglichkeiten.

Google könnte in den kommenden Wochen weitere Restriktionen für die Nutzung der Accessibility API in Android 16 ankündigen. Bis dahin bleibt die Wachsamkeit der Nutzer – besonders beim Download von Apps – die wichtigste Verteidigungslinie.

Doch was bedeutet das konkret? Die Zeiten, in denen Ende-zu-Ende-Verschlüsselung als unknackbar galt, sind vorbei. Kein Wunder also, dass die Reaktionen in der Sicherheits-Community so heftig ausfallen. Denn wenn selbst Signal und WhatsApp keine Sicherheit mehr bieten, muss die Verteidigungsstrategie grundlegend neu gedacht werden.

PS: So sichern Sie Ihr Android ohne teure Zusatz-Apps: Dieses Gratis-Paket zeigt praxisnah, welche Einstellungen Sie sofort ändern sollten, wie Sie Messenger und Online-Banking schützen und welche Kontrollen Zwei-Faktor-Codes sicher machen. Ideal, wenn Sie WhatsApp, Signal oder Telegram nutzen und sich vor sogenannten “Black Screen”-Übernahmen schützen wollen. Holen Sie sich die Schritt-für-Schritt-Checkliste kostenlos per E‑Mail. Gratis-Schutzpaket für Android anfordern