StreamRat: Neuer Android-Banking-Trojaner aus Meta-Streaming-Betrugsanzeigen

Forschende von ThreatFabric entdeckten einen neuen Banking-Trojaner für Android namens StreamRat, der über eine gefälschte Werbekampagne eines Streaming-Dienstes in Meta verbreitet wurde. Nach Angaben der Forschenden war die Kampagne auf spanischsprachige Nutzende in Spanien ausgerichtet und erreichte ungefähr 570.950 Meta-Konten in der Europäischen Union. Wichtig zu betonen: Diese Zahl spiegelt die Werbereichweite wider, nicht die Zahl der Infektionen – die Anzahl kompromittierter Geräte und bestätigter Opfer wird nicht offengelegt. Android-Nutzende, die Apps aus Drittquellen installieren, sollten ihre Geräte umgehend auf die nachfolgend aufgeführten Indikatoren einer Kompromittierung prüfen.

Infektionskette: vom Werbebanner zur vollständigen Kontrolle

Der Angriff beginnt mit einer Werbeanzeige in Meta, die die Nutzenden auf eine speziell präparierte Website umleitet. Die Seite erkennt das Betriebssystem der Besuchenden und bietet einen Download nur für Android-Nutzende an. Das Opfer lädt die Datei app.apk herunter, die als Dropper fungiert – eine Zwischenkomponente, die die eigentliche schädliche Nutzlast ausliefert.

Der Dropper fordert nacheinander eine Reihe kritischer Berechtigungen an, von denen jede die Kontrolle über das Gerät erweitert:

1. Rolle als standardmäßige Home-App. Nach der Zustimmung wird die Oberfläche des Droppers bei jedem Druck auf die „Home“-Taste angezeigt, was dem dokumentierten Mechanismus Android Home Role entspricht.
2. VPN-Verbindung. Der Dropper erstellt ein funktionsloses VPN-Interface, das den Datenverkehr aller Apps mit Ausnahme des Droppers selbst abfängt. Laut Android VpnService-Dokumentation unterstützt die Plattform Ausschlusslisten für Apps – genau diesen Mechanismus nutzt der Dropper aus. Dadurch verlieren andere Apps während der Installation den Internetzugang, was nach Einschätzung von ThreatFabric die Wirksamkeit von Online-Reputationsprüfungen und Code-Analysen verringern kann.
3. Installation aus unbekannten Quellen. Der Dropper lädt die Hauptnutzlast von StreamRat im öffentlichen Verzeichnis Downloads unter dem Namen update_{timestamp}.apk herunter und fordert das Recht zur Installation von Apps aus Drittquellen an, das seit Android 8.0 verpflichtend ist.
4. Zugriff auf Accessibility Service. Nach der Installation fordert StreamRat Zugriff auf den Accessibility Service an und baut anschließend eine Verbindung zu einem Command-and-Control-Server (C2) auf.

Nach dem Deaktivieren des VPN-Interfaces erhält StreamRat vollen Netzwerkzugang zur Kommunikation mit dem C2-Server.

Fähigkeiten des Trojaners

Nach Angaben von ThreatFabric verfügt der Trojaner nach Erhalt des Zugriffs auf den Accessibility Service über folgende Fähigkeiten:

• Abfangen von Tastatureingaben (Keylogging)
• Einblenden von Phishing-Overlays zur Abgreifung von Zugangsdaten
• Inspektion des Inhalts der sichtbaren Benutzeroberfläche
• Remote-Steuerung des Geräts

Besonders hervorzuheben ist der doppelte Mechanismus zur Bildschirmaufnahme. Der erste Modus nutzt das Android MediaProjection API, das die Zustimmung der Nutzenden erfordert und einen Indikator für die Bildschirmaufzeichnung anzeigt. Mit Zugriff auf den Accessibility Service kann die Malware jedoch automatisch mit dem Zustimmungsdialog interagieren. Der zweite Modus verwendet die Methode AccessibilityService.takeScreenshot(), die ab API Level 30 verfügbar ist – sie erlaubt Bildschirmfotos ohne den MediaProjection-Indikator.

Kontext der Kampagne

Berichten zufolge wurde die Werbekampagne in Meta vom 11. Juni bis 3. Juli 2026 durchgeführt. Die Forschenden identifizierten sie Ende Juli, und die Analyseergebnisse wurden am 2. September 2026 veröffentlicht. Der konkrete Threat-Actor ist nicht bekannt – ThreatFabric hat die Kampagne keiner bekannten Gruppe zugeschrieben.

Die Forschenden erwähnen auch eine mögliche Verbreitung über TikTok, doch die vorgelegten Belege beschränken sich auf Code der Landingpage, der TikTok als Quelle des Traffics erkennen kann. Werbeanzeigen oder Reichweitendaten zu TikTok wurden nicht bereitgestellt, weshalb dieser Verbreitungskanal als unbestätigt anzusehen ist.

Die Spanne der verwundbaren Android-Versionen wurde nicht veröffentlicht – die Anfälligkeit hängt vom Verhalten der Nutzenden bei Installation und Vergabe von Berechtigungen ab.

Indikatoren einer Kompromittierung

ThreatFabric hat die folgenden Indikatoren bereitgestellt (unverändert aus dem Bericht übernommen, ohne unabhängige Validierung):

• SHA-256:e0714788b4e2518b0d9d4cbf18c7217bb97718e01689d77338f1cc4a230fcb6c
• Paket: io.base.one887 / App: StrεαmTV Pro
• SHA-256:ba83cc3c9535690191018edf73ca5c6001609df9919462796aa2e551f142e4d3
• Paket: io.meat.hint / App: Sistema de vídeo
• C2: 45.147.28[.]59, 193.32.2[.]245

Empfehlungen zum Schutz

• Installieren Sie keine APKs aus Drittquellen. StreamRat wird ausschließlich über Sideloading verbreitet – der Google Play Store ist nicht involviert. Deaktivieren Sie in den Sicherheitseinstellungen die Berechtigung zur Installation aus unbekannten Quellen für alle Apps.
• Prüfen Sie angeforderte Berechtigungen kritisch. Eine Streaming-App, die die Home-Screen-Rolle, VPN-Zugriff oder den Accessibility Service anfordert, ist ein klarer Hinweis auf bösartige Aktivität.
• Überprüfen Sie die installierten Apps. Suchen Sie nach den Paketen io.base.one887 und io.meat.hint über die Geräteeinstellungen oder ADB. Falls gefunden, deinstallieren Sie sie umgehend und ändern Sie die Passwörter aller Bank- und Finanzdienste.
• Blockieren Sie die C2-Adressen auf Ebene der Netzwerkinfrastruktur oder Ihrer MDM-Lösung: 45.147.28[.]59 und 193.32.2[.]245.
• Stellen Sie sicher, dass Google Play Protect aktiviert ist. Der Dienst kann bekannte schädliche Apps auch offline erkennen, was die VPN-Manipulation des Droppers teilweise ausgleicht.

StreamRat zeigt eine ausgefeilte, mehrstufige Infektionskette, bei der sich jede Phase auf legitime Android-Mechanismen stützt – von der Steuerung des Home-Screens bis zur VPN-Routing-Manipulation. Die wichtigste Schutzbarriere bleibt simpel: keine Installation von APK-Dateien, die über Werbelinks aus sozialen Netzwerken heruntergeladen wurden. Organisationen mit einem Bestand an Android-Geräten sollten die genannten Hashes und IP-Adressen in ihre Erkennungsregeln aufnehmen und Sideloading über Richtlinien zum Mobile-Device-Management blockieren.