Ein Overlay-Angriff ist eine mobile Angriffstechnik, bei der Malware ein gefälschtes Fenster über eine legitime App legt – meist eine Banking- oder Bezahl-App –, um Zugangs- oder Kartendaten abzufangen.
Wie Overlay-Angriffe funktionieren
Overlay-Angriffe sind die Paradetechnik von Banking-Trojanern für Android. Nach der Installation, typischerweise über eine Dropper-App oder einen Link in Smishing-Nachrichten, fordert die Malware Berechtigungen wie „Über anderen Apps einblenden“ (SYSTEM_ALERT_WINDOW) oder Bedienungshilfen an. Danach:
- lädt sie eine Liste von Ziel-Apps samt passender gefälschter Anmeldebildschirme (Injects) von ihrem Server;
- beobachtet sie, welche App im Vordergrund läuft;
- zeichnet sie beim Öffnen einer Ziel-App sofort eine pixelgenaue Kopie von deren Login- oder Kartenmaske darüber;
- schickt sie alles, was der Nutzer eingibt, an die Angreifer.
Overlays können auch bösartige Aktionen verbergen: Eine harmlos wirkende Ebene fordert zum Tippen auf, während die Eingaben darunter Berechtigungen erteilen – die Idee hinter der Forschungsarbeit „Cloak & Dagger“ von 2017. MITRE ATT&CK for Mobile beschreibt die Technik als Input Capture: GUI Input Capture (T1417.002).
Warum Overlay-Angriffe gefährlich sind
Mit Overlays stiehlt Malware Banking-Passwörter, Kartennummern und Einmalpasswörter, ohne die App der Bank selbst zu knacken. Familien wie BankBot, Anubis, Cerberus, Anatsa und viele Infostealer zielen gleichzeitig auf Hunderte Banking-, Krypto- und Shopping-Apps. Google hat Overlay- und Bedienungshilfen-Berechtigungen in neueren Android-Versionen und bei Google Play schrittweise eingeschränkt, was Angreifer zu per Sideloading installierten Apps und Social Engineering drängt.
Wie man sich vor Overlay-Angriffen schützt
- Apps nur aus offiziellen Stores installieren und Links zu APK-Dateien meiden.
- Apps, die es nicht eindeutig brauchen, weder „Über anderen Apps einblenden“ noch Bedienungshilfen erlauben.
- Android und Google Play Protect aktuell halten.
- Misstrauisch werden, wenn unerwartet ein Anmeldebildschirm erscheint oder vollständige Kartendaten verlangt werden.
