Gefälschtes Chrome-Update liest Ihre Telegram- und WhatsApp-Chats

Ein gefälschtes Chrome-Update installiert Spionagesoftware auf Android-Smartphones in mehr als 26 Ländern. Positive Technologies hat die Analyse am 17. August veröffentlicht: Das Programm mit dem Namen DragonDoll kommt von einer Seite, die die offizielle Chrome-Website kopiert, verlangt eine einzige Systemberechtigung und liest von da an Ihre Chats in Telegram, WhatsApp und Signal direkt vom Bildschirm ab. In zwei Monaten sammelten die Forscher rund 150 Varianten. Wichtiger als der Name der Schadsoftware ist die Regel, auf deren Unkenntnis sie baut: Chrome wird unter Android niemals über eine Website aktualisiert.

Ein Browser-Update von einer Webseite ist immer eine Fälschung

Chrome wird unter Android von Google Play aktualisiert, im Hintergrund, ohne dass Sie etwas herunterladen sollen. Der Browser selbst reicht Ihnen nie eine Installationsdatei, andere vorinstallierte Apps ebenso wenig. Eine Seite, die meldet, Ihr Chrome sei veraltet, und das Update als Datei anbietet, hat also genau einen Zweck, egal wie sauber sie gestaltet ist.

In dieser Kampagne war sie sauber gestaltet. Die Seite kopierte das Layout der echten Chrome-Website und wechselte die Sprache automatisch anhand der Browsersprache, insgesamt 34 Lokalisierungen, darunter Russisch, Ukrainisch, Arabisch, Chinesisch, Koreanisch, Hebräisch und Persisch. Sogar der Text änderte sich, je nachdem, ob die Datei schon installiert war. Mit Google hatten die Adressen nichts zu tun: Die Falle lief unter Namen wie datewithmealways[.]site und digitaladstracking[.]com.

Eine Berechtigung ist der ganze Angriff

Der Installer will den Bedienungshilfen-Dienst, die Accessibility-Funktion. Unter Android existiert dieser Bereich für Menschen, die den Bildschirm nicht sehen oder nicht präzise tippen können, deshalb darf er von Haus aus alles lesen, was auf dem Display steht, und stellvertretend tippen. Ihn einer beliebigen App zu geben, entspricht digital der Situation, dass jemand neben Ihnen sitzt, über die Schulter schaut und das Telefon gleich mitbedient.

Mit diesem Schalter liest DragonDoll Chatlisten, Kontakte, Nachrichtentexte, Sendezeiten und Absendernamen in Signal und WhatsApp, in Telegram fängt es zusätzlich den Inhalt der Benachrichtigungen ab. Bei Viber und allem anderen greift es einfach den sichtbaren Text des Bildschirms ab. Über denselben Kanal bekommt es Tastatureingaben samt Passwortfeldern, Screenshots, gefälschte Fenster über echten Apps, Lesen und Senden von SMS, Anrufe, Kontakte und die Fernsteuerung des Geräts. Die Forscher zählten mehr als fünfzig Befehle, die der Betreiber schicken kann.

Deshalb spielt die Verschlüsselung Ihres Messengers hier keine Rolle. Signal und WhatsApp schützen eine Nachricht auf dem Weg zwischen zwei Telefonen. DragonDoll sitzt auf einem dieser Telefone und liest die Nachricht bereits entschlüsselt auf dem Bildschirm, genauso wie Sie sie lesen.

Prüfen Sie Ihr Telefon heute Abend

1. Öffnen Sie Einstellungen, Bedienungshilfen, und suchen Sie die Liste der installierten Apps mit Zugriff. Auf den meisten Geräten steht sie unter "Heruntergeladene Apps" oder "Installierte Dienste". Alles, was Sie nicht bewusst eingeschaltet haben, gehört ausgeschaltet. Ein Browser, ein Spiel oder ein "Update" hat dort nichts zu suchen.
2. Gehen Sie zu Einstellungen, Apps, Spezieller App-Zugriff, Unbekannte Apps installieren. Entziehen Sie die Erlaubnis allen, vor allem dem Browser und den Messengern. Genau dieser Schalter erlaubt es einer Webseite, ein Programm zu installieren.
3. Prüfen Sie im selben Menü den Benachrichtigungszugriff. Eine App, die alle Benachrichtigungen liest, sieht Einmalcodes und Nachrichtenvorschauen, ohne den Messenger überhaupt zu öffnen.
4. Öffnen Sie Einstellungen, Sicherheit, Geräteadministrator-Apps. Auf einem privaten Telefon ist diese Liste meist leer oder enthält nur "Mein Gerät finden". Ein Geräteadministrator lässt sich schwerer entfernen, genau deshalb fragt Schadsoftware danach.
5. Starten Sie eine Prüfung in Google Play: Ihr Profilbild oben rechts, dann Play Protect und Scannen. Ein vollwertiges Antivirus ist das nicht, bekannte Familien erkennt es aber.
6. Sortieren Sie die installierten Apps nach Installationsdatum und sehen Sie sich die neuesten an. Was Sie nicht kennen oder nicht selbst installiert haben, fliegt herunter.

Wenn Sie es bereits installiert haben

1. Schalten Sie den Flugmodus ein. Das Programm holt seine Befehle von einem Steuerserver, ohne Netz endet das Gespräch.
2. Starten Sie in den abgesicherten Modus: Ein-/Aus-Taste gedrückt halten, dann lange auf "Ausschalten" tippen, bis das Telefon den abgesicherten Modus anbietet. Fremd-Apps laufen dort nicht, das macht das Entfernen möglich.
3. Nehmen Sie zuerst die Geräteadministratorrechte weg, unter Einstellungen, Sicherheit, Geräteadministrator-Apps, und deinstallieren Sie dann die App. Verschwindet sie nicht, ist das Zurücksetzen auf Werkseinstellungen die verlässliche Antwort.
4. Ändern Sie von einem anderen Gerät aus die Passwörter für Mail, Bank und Messenger. In Telegram unter Einstellungen, Geräte alle anderen Sitzungen beenden; in WhatsApp die verknüpften Geräte prüfen und Unbekanntes abmelden.
5. Behalten Sie Ihre Kontoauszüge im Blick, besonders kleine Testbuchungen, und betrachten Sie jede PIN und jedes Bankpasswort, das Sie auf diesem Telefon eingetippt haben, als fremden Besitz.

Auf wen es abgesehen war

Positive Technologies traf diese Familie im Frühjahr zum ersten Mal, bei der Untersuchung von Angriffen auf Nutzer in Saudi-Arabien, und fand denselben Code danach bei Menschen in Russland, China, Korea sowie im Nahen Osten und Nordafrika. Die gesammelten Varianten liegen zwischen dem 6. März und dem 6. Mai 2026 und enthalten zwei Versionen des Programms, 9.3 und 9.4. Die gestohlenen Daten gingen verschlüsselt an einen Steuerserver in Russland.

Eine Kampagne, die 34 Sprachen spricht, zielt nicht auf eine Person, sondern auf jeden, der klickt. So liest man diese Geschichte am sinnvollsten: Niemand hat Sie ausgesucht, ausgesucht wurde der Moment, in dem eine Seite behauptete, Ihr Browser sei veraltet, und Sie es geglaubt haben.