Cyberkriminelle geben sich über mehr als 100 betrügerische Websites als DStv, Takealot, South African Airways, SARS und andere große Organisationen aus, um Malware zu verbreiten, die Banking-Apps auf Android-Geräten übernimmt. Dies geht aus einem Bericht des internationalen Cybersicherheitsunternehmens NordVPN hervor.

Die Kampagne ist seit August 2025 aktiv und richtet sich mithilfe von Social Engineering gegen südafrikanische Android-Nutzer. Opfer erhalten Nachrichten per SMS, über WhatsApp oder über soziale Medien, die Links zu gefälschten Websites enthalten, die seriösen Organisationen zum Verwechseln ähnlich sehen. Die südafrikanische Steuerbehörde SARS (South African Revenue Service) ist ein häufiges Ziel solcher Nachahmung, und die Behörde warnt regelmäßig öffentlich vor betrügerischen Nachrichten, die in ihrem Namen versendet werden.

Nach dem Öffnen der Website werden die Opfer aufgefordert, eine App herunterzuladen, die einen Remote-Access-Trojaner auf ihrem Gerät installiert. Da die App über einen Browser-Link und nicht über einen offiziellen App-Store verbreitet wird, umgeht sie die Prüfung, der Einträge im Google Play unterliegen; Android fordert Nutzer bei der Installation von Software aus unbekannten Quellen zur Bestätigung auf, und die Opfer müssen diese Installation genehmigen, damit der Trojaner Fuß fassen kann. Nach der Installation läuft er im Hintergrund, übersteht Neustarts des Telefons und fordert Berechtigungen an, darunter Zugriff auf SMS-Nachrichten, Kontakte, Anruflisten, Bildschirmaufnahmen und Audioaufnahmen.

Seine schädlichste Funktion ist das Abfangen von Einmalpasswörtern (OTPs), die Banken zur Transaktionsverifizierung senden.

„Die Malware setzt die Zwei-Faktor-Authentifizierung faktisch außer Kraft“, sagte NordVPN. „Angreifer können sich in die Banking-App des Opfers einloggen und die Transaktion selbst genehmigen.“

NordVPN erklärte, die betrügerischen Websites zeigten ein ungewöhnliches Maß an Raffinesse, wobei bei Design und Lokalisierung sehr wahrscheinlich generative KI eingesetzt wurde. Die Domains sind auf Wegwerf-Endungen wie .cc, .lol, .xyz und .mom registriert, während sich die meisten hinter Cloudflare verbergen – einem Content-Delivery-Netzwerk, dessen Proxy-Dienst den Standort des Servers verschleiert, der eine Website tatsächlich hostet – und ersetzt werden, sobald sie aufgegeben werden.

Die Kampagne erfolgt vor dem Hintergrund zunehmender Angriffe auf das Mobile Banking in ganz Afrika. Laut Kaspersky nahmen Angriffe auf das Mobile Banking im Jahr 2025 weltweit um das 1,5-Fache zu, während Banken-Phishing 53,75 % aller Phishing-Erkennungen auf dem afrikanischen Kontinent ausmachte.

„Phishing und Social Engineering können Menschen auf gefälschte Banking-Seiten locken, während Infostealer und mobile Banking-Trojaner darauf ausgelegt sind, Zugangsdaten oder andere sensible Informationen abzufangen“, sagte Boris Larin, Leitender Sicherheitsforscher bei Kaspersky.

Das Ausmaß der Operation gegen Südafrika ist erheblich. Bisher wurden mehr als 100 Domains mit der Kampagne in Verbindung gebracht, und neue erscheinen, sobald alte aufgegeben werden. Der gezielte Einsatz vertrauenswürdiger Marken, die Südafrikanern vertraut sind, ist ein zentraler Bestandteil des Schemas.

Androids Dominanz in Südafrika, wo das System mehr als 76 % des Marktes für mobile Betriebssysteme ausmacht, macht das Land zu einem besonders attraktiven Ziel. Da Millionen Südafrikaner ihre Finanzen ausschließlich über Smartphones verwalten, können sich die Auswirkungen eines erfolgreichen Angriffs weit über ein einziges kompromittiertes Konto hinaus erstrecken.

Marijus Briedis, Chief Technology Officer bei NordVPN, riet Android-Nutzern, niemals Apps über Links zu installieren, die per Nachricht empfangen wurden, und Dringlichkeit in solchen Mitteilungen als Warnsignal zu betrachten. Jede Nachricht, die sofortiges Handeln verlangt oder einen Nutzer unter Zeitdruck setzt, sollte kritisch geprüft und nicht befolgt werden.

Nutzer, die vermuten, bereits eine schadhafte App installiert zu haben, sollten ihr Telefon sofort vom Internet trennen, die verdächtige App deinstallieren, alle Passwörter von einem separaten Gerät aus ändern und ihre Bank direkt kontaktieren, um ihr Konto zu sichern. Verdachtsfälle von Cyberkriminalität können zudem der südafrikanischen Polizei (South African Police Service) gemeldet werden, die Straftaten nach dem Cybercrimes Act von 2020 untersucht.

Lesen Sie auch: MultiChoice Nigeria gewährt DStv- und GOtv-Abonnenten den gesamten Juni über kostenlose Paket-Upgrades