Android-Trojaner ArcticRAT lässt Grok gestohlene SMS nach Bankdaten durchsuchen

Worum es geht

Das Sicherheitsunternehmen Zimperium hat am 12. November 2026 einen ausführlichen Bericht über eine Android-Schadsoftware namens ArcticRAT veröffentlicht. RAT steht für „Remote Access Trojan“ – ein Trojaner, mit dem Angreifer ein fremdes Gerät aus der Ferne steuern, als säßen sie selbst davor. Den Namen vergaben die Forscher des hauseigenen Teams zLabs wegen auffälliger Paketnamen in frühen Proben wie net.iceflow.arcticlink oder net.frostlink.iceforge.

Angefangen hat ArcticRAT laut Zimperium als gezielte Spionagesoftware gegen Nutzer von elf bestimmten Kryptowährungs-Apps. Inzwischen sei daraus ein umfassendes Fernsteuerungswerkzeug geworden – und eines, das künstliche Intelligenz einsetzt. Ab etwa Mitte Juli 2026 tauchten Varianten auf, die erbeutete Daten an ein großes Sprachmodell (LLM) schicken, um sie automatisch auszuwerten. Konkret beobachteten die Forscher Anfragen an die Programmierschnittstelle (API) von xAI mit dem Modell grok-4.20-0309-non-reasoning.

Der Umfang der Untersuchung: 78 einzelne Schadsoftware-Proben, darunter 42 sogenannte Dropper und 36 eigentliche Schadprogramme (Payloads), dazu 21 Server-Adressen der Angreifer und 129 verschiedene Steuerbefehle im Code.

So landet der Trojaner auf dem Handy

Die Infektion beginnt nicht im offiziellen Play Store. Opfer gelangen über manipulierte Werbung (Malvertising), betrügerische SMS (Smishing) oder Links in Foren auf eine Webseite, die Google Play täuschend echt nachahmt. Teilweise wurden die Dateien laut Bericht auch direkt aus Speicherbereichen bei Amazon Web Services ausgeliefert. Die Apps tragen echte Markenlogos und geben sich als Amazon-App, TikTok, Dateimanager oder beliebte Krypto-App aus.

Zunächst installiert man nur einen Dropper – ein harmlos wirkendes Programm, dessen einziger Zweck es ist, die eigentliche Schadsoftware nachzuladen. Dieser Dropper bittet um die Berechtigung, ein VPN einzurichten. Das VPN dient hier aber nicht dem Datenschutz: Es leitet sämtlichen Netzwerkverkehr ins Leere. Dadurch kann Google Play Protect, der eingebaute Virenschutz von Android, während der Installation keine Daten an Google melden. Eine gefälschte Installationsoberfläche lenkt den Nutzer ab, dann entschlüsselt der Dropper das versteckte Hauptprogramm, installiert es und beendet das VPN wieder.

Anschließend fordert die eigentliche Schad-App die Bedienungshilfen (Accessibility Services) an – eine Android-Funktion, die eigentlich Menschen mit Einschränkungen hilft, aber Apps erlaubt, den Bildschirminhalt zu lesen und Klicks auszulösen. Wer zustimmt, gibt praktisch die Kontrolle über das Gerät ab.

Was ArcticRAT alles kann

Nach der Installation meldet sich die Malware über direkte TCP-Verbindungen bei ihren Steuerservern (C2-Server, „Command and Control“). Laut Zimperium liegen von 17 näher untersuchten Adressen zwei Drittel in Hongkong und rund 20 Prozent in Deutschland. (Im Bericht ist an anderer Stelle von 21 Adressen die Rede – die Zahlen sind nicht ganz einheitlich.) Die Malware schickt zunächst umfangreiche Geräteinfos: Akkustand, Bildschirmstatus, WLAN-Verbindung und sogar das aktuelle Hintergrundbild – Letzteres, um zu prüfen, dass sie auf einem echten Handy läuft und nicht in einer Testumgebung von Sicherheitsforschern. Erst danach entscheidet der Server, welche Angriffe er startet. Für verschiedene Aufgaben nutzt die Malware eigene Ports, etwa 9999 für die Hauptverbindung, 8888 für die Fernsteuerung und 5000 für das Abhören des Mikrofons.

Die wichtigsten Funktionen im Überblick:

• Hidden VNC (HVNC): Ein unsichtbarer, virtueller Bildschirm, über den die Angreifer das Handy live bedienen – etwa Banking-Apps öffnen –, ohne dass das Opfer es sieht. Bilder werden als JPEG-Folge übertragen.
• Schwarzer Bildschirm: Während die Angreifer arbeiten, legt die Malware eine schwarze, nicht wegklickbare Fläche über das Display und dreht die Helligkeit auf null. Das Handy wirkt ausgeschaltet.
• Keylogger: Jede Eingabe wird mitgeschrieben und pro Tag als JSON-Datei im versteckten Ordner /storage/emulated/0/config/System/ abgelegt; dazu kommen Klickverläufe und Screenshots.
• Gefälschter Sperrbildschirm: Auf Befehl erscheint eine täuschend echte Abfrage von Muster, PIN oder Passwort. Die eingegebenen Daten prüft die Malware anschließend still mit dem Systembefehl locksettings verify.
• Fake-Erpressung: Ein vorgetäuschter Verschlüsselungstrojaner sperrt den Bildschirm mit einer endlos laufenden Fortschrittsanzeige und fordert Kryptowährung. Tatsächlich wird nichts verschlüsselt – es geht nur um psychologischen Druck.
• Weitere Spionage: Standortdaten, Kontakte, Benachrichtigungen, Anrufe und USSD-Codes auslösen, SMS heimlich versenden. Per Befehl kann sich die Malware zudem selbst löschen, um Spuren zu verwischen.

Die KI als Datenauswerter

Neu und laut Zimperium die bedeutendste Entwicklung ist der Befehl <xAI_API>. Das Problem der Kriminellen war bisher, dass sie riesige Mengen erbeuteter Daten von Hand durchsehen mussten. Nun schickt der Server einen API-Schlüssel an das infizierte Handy, und die Malware fragt mit fest eingebauten Anweisungen (Prompts) direkt beim Sprachmodell an.

Der erste Prompt lässt das Modell die Liste installierter Apps durchgehen und Banking-, Krypto- und Trading-Apps heraussuchen – also die lohnendsten Ziele. Der zweite Prompt verarbeitet die gestohlenen SMS: Werbung soll verworfen werden, übrig bleiben Einmalcodes für Logins, Kontostandsänderungen und Überweisungsmitteilungen. Zusätzlich soll das Modell aus dem Text die finanzielle Lage des Opfers einschätzen und alles als strukturierte JSON-Daten zurückgeben. Die Ergebnisse werden im Ordner /config/AI_DATA/ zwischengespeichert und auf Befehl <Get_AI_ANA_Data> an die Angreifer übertragen.

Zimperium verweist darauf, dass eine ähnliche Entwicklung bereits bei einer anderen Malware namens RatHat zu beobachten war. Ob xAI über den Missbrauch informiert wurde oder die verwendeten API-Schlüssel gesperrt hat, geht aus dem Bericht nicht hervor.

Displaysperre aushebeln per WLAN-Debugging

Neuere Versionen missbrauchen das kabellose Debugging, das Android seit Version 11 für Entwickler anbietet. Über die Android Debug Bridge (ADB) – ein Werkzeug, mit dem Entwickler Befehle mit erweiterten Rechten auf dem Gerät ausführen – erhält die Malware eine privilegierte Kommandozeile. Dazu sucht sie im lokalen Netz nach dem Kopplungsdienst; den sechsstelligen Kopplungscode liefert der Angreifer über sein Steuerpanel nach.

Mit diesen Rechten können die Täter die eigenen Bedienungshilfen-Rechte still einschalten, die Displaysperre komplett entfernen oder eine neue PIN, ein neues Muster oder Passwort setzen – und das Opfer damit aus dem eigenen Handy aussperren. Damit die Software einen Neustart übersteht, reagiert sie auf Systemereignisse, auch auf herstellerspezifische von Huawei, Vivo und Oppo.

Die Analyse der Versionen v6.3 bis v6.5.2 zeigt laut Zimperium, dass die Malware fortlaufend weiterentwickelt wird. Eine vollständige Liste der Befehle und der Erkennungsmerkmale (IOCs) stellt das Unternehmen in einem Repository bereit.

Einordnung

ArcticRAT zeigt, wie Kriminelle Sprachmodelle ganz pragmatisch nutzen: nicht für spektakuläre neue Angriffe, sondern als billigen Sachbearbeiter, der Beute sortiert. Das senkt den Aufwand und macht auch Massenangriffe lohnend, weil die KI aus Tausenden SMS genau die relevanten Codes und Kontostände fischt. Dass dafür ein kommerzielles Modell eines großen Anbieters über die reguläre API genutzt wird, wirft Fragen an die Missbrauchserkennung der KI-Firmen auf.

Zu beachten ist: Der Bericht stammt von einem Anbieter von Mobil-Sicherheitssoftware und endet mit Werbung für die eigenen Produkte. Die technischen Details sind ausführlich und nachvollziehbar dokumentiert, unabhängige Bestätigungen anderer Forscher liegen in den Quellen aber nicht vor. Angaben zur Zahl der Opfer oder zu betroffenen Ländern fehlen ebenfalls.

Für Nutzer gelten die bekannten Grundregeln umso mehr: Apps nur aus dem offiziellen Play Store installieren, auch wenn eine Seite wie Google Play aussieht; misstrauisch werden, wenn eine App Bedienungshilfen- oder VPN-Rechte verlangt, ohne dass das zu ihrer Funktion passt; und kabelloses Debugging ausgeschaltet lassen, wenn man es nicht als Entwickler braucht.