Die Banking-Trojaner Grandoreiro und BTMOB sind zurück und gefährlicher denn je. Während Grandoreiro bereits seit 2016 im Umlauf ist, nutzt die jüngste Kampagne eine bisher weniger verbreitete Angriffstechnik: DLL-Side-Loading. Dabei werden legitime Softwarekomponenten missbraucht, um böswillige DLLs zu laden.
Die Grandoreiro-Kampagne richtet sich primär gegen portugiesische Banken wie Abanca, Banco de Portugal, BBVA PT und Caixa Geral Depositos sowie internationale Fintech-Dienste wie Revolut und Wise. Besonders raffiniert ist die Implementierung: Die verwendeten DLLs (mingwm10.dll, libwebp.dll, libffi-6.dll und libpng15.dll) wurden in Delphi 11 programmiert und nutzen WebSocket-Bibliotheken sowie STUN- und ICE-Protokolle für Peer-to-Peer-Kommunikation. Dies erschwert die Erkennung erheblich, da die Kommunikation im Rauschen von Web-Conferencing-Traffic verschwindet.
Das Verbreitungsmodell ist besorgniserregend: Phishing-E-Mails leiten Opfer auf Fake-Websites, wo sie vermeintliche Adobe-Reader-Updates installieren. Stattdessen laden sie sich Banking-Malware herunter, die Credentials stiehlt und Zwei-Faktor-Authentifizierung umgeht.
Yet BTMOB präsentiert ein noch problematischere Bedrohung. Der Android-Trojaner, der seit Februar 2025 aktiv ist, wird offen als Malware-as-a-Service vermarktet. Für 700 Dollar monatlich oder 1.200 Dollar lebenslang können auch weniger technisch versierte Cyberkriminelle voller funktionsfähige Android-Trojaner deployed. Die aktuelle Version 4.5.5 bietet einen grafischen APK-Builder, mit dem Angreifer ohne Code-Kenntnisse neue Varianten erstellen können.
BTMOB nutzt Social Engineering, um Nutzer auf Fake-Streaming- oder Krypto-Mining-Websites zu locken. Von dort werden Android-Apps über gefälschte Google-Play-Store-Einträge verteilt. Nach Installation missbräuchlich Accessibility Services, was dem Trojaner Fernzugriff auf das Gerät ermöglicht — der Benutzer bemerkt nichts davon.
Das Leak der kompletten BTMOB-Entwicklungs-Toolkit im Dezember 2025 verschärft die Situation. Die freizügige Verfügbarkeit des Quellcodes in Underground-Foren und Telegram bedeutet, dass Copycats schnell entstehen können.
Für Nutzer und Unternehmen gilt: Vorsicht bei verdächtigen Links, regelmäßige Software-Updates, und die Überprüfung von App-Berechtigungen sind essentiell. Das BSI empfiehlt zusätzlich Multi-Faktor-Authentifizierung und kontinuierliche Überwachung verdächtiger Aktivitäten.