Banking-Trojaner TCLBanker attackiert Bankkunden

Über Messenger und Mail: Banking-Trojaner TCLBanker kapert Unternehmensnetzwerke

Der Banking-Trojaner TCLBanker zeigt, wie schnell sich Betrugsmaschen im Online-Banking weiterentwickeln. Die Schadsoftware greift nicht nur Bankdaten an, sondern nutzt auch vertraute Kommunikationswege wie WhatsApp Web und Microsoft Outlook. Genau das macht sie gefährlich: Betroffene Kontakte erhalten Nachrichten scheinbar von bekannten Personen. Für Bankkunden bedeutet das: Aufmerksamkeit bleibt ein wichtiger Schutz. In diesem Blogbeitrag finden Sie die wichtigsten Informationen.

Was ist der Banking-Trojaner TCLBanker?

Der Banking-Trojaner TCLBanker ist eine Schadsoftware, die auf Bankkunden, Fintech-Dienste und Krypto-Plattformen zielt. Sicherheitsforscher von Elastic Security Labs ordnen die Kampagne unter dem Namen REF3076 ein und sehen Verbindungen zu älteren brasilianischen Banking-Trojanern. Nach bisherigen Analysen steht vor allem Brasilien im Fokus. Die Schadsoftware prüft unter anderem Spracheinstellungen, Tastatur-Layout und Zeitzone. Das spricht dafür, dass die Täter ihre Angriffe zunächst auf eine bestimmte Region ausrichten. Trotzdem sollten Sie die Gefahr nicht unterschätzen. Malware-Familien werden oft angepasst, sobald eine Methode funktioniert. Dann können neue Zielregionen folgen.

Besonders auffällig ist, dass TCLBanker nicht nur Zugangsdaten stehlen will. Die Schadsoftware soll auch Nachrichten über WhatsApp Web und E-Mails über Outlook verschicken. Dadurch kann sie sich über echte Konten verbreiten und wirkt für Empfänger zunächst glaubwürdig.

Wie die Schadsoftware auf den Rechner gelangt

Die beobachtete Infektionskette nutzt einen manipulierten Installer, der sich als legitime Software ausgibt. Konkret berichten Sicherheitsforscher von einem trojanisierten MSI-Installationspaket rund um Logi AI Prompt Builder von Logitech. Das bedeutet: Nutzer laden scheinbar ein bekanntes Programm herunter, installieren aber zusätzlich Schadcode. Nach der Installation nutzt TCLBanker eine Technik namens DLL-Sideloading. Vereinfacht gesagt lädt ein echtes Programm dabei eine fremde, schädliche Datei mit.

Für viele Menschen klingt das sehr technisch, im Alltag zählt aber vor allem der praktische Punkt: Kriminelle tarnen Schadsoftware gern als nützliche Anwendung, Update oder Produktivitätstool. Deshalb sollten Sie Programme nur aus verlässlichen Quellen beziehen. Öffnen Sie keine ZIP-Dateien oder Installationsdateien aus unerwarteten Nachrichten. Das gilt besonders dann, wenn der Absender Druck macht oder einen schnellen Klick fordert.

Warum WhatsApp und Outlook den Angriff gefährlicher machen

Der Banking-Trojaner TCLBanker nutzt nicht nur klassische Phishing-Methoden. Er kann auch bereits angemeldete WhatsApp-Web-Sitzungen missbrauchen und über Outlook Nachrichten aus dem Konto des Opfers versenden. Für Empfänger sieht das oft harmlos aus, weil die Nachricht von einer bekannten Person kommt. Genau hier liegt das Risiko. Viele Menschen prüfen Links weniger streng, wenn sie von Freunden, Kollegen oder Geschäftspartnern stammen. Nach den Analysen kann die Malware Kontakte automatisiert anschreiben und so neue Opfer erreichen. E-Mail-Filter und Spam-Schutz greifen in solchen Fällen oft schlechter, weil die Nachricht über ein echtes Konto und eine legitime Plattform verschickt wird.

Sie sollten deshalb auch bei vertrauten Absendern vorsichtig bleiben. Fragen Sie über einen zweiten Kanal nach, wenn eine Nachricht unerwartet wirkt. Besonders kritisch sind Links zu Installationsdateien, angeblichen Updates oder Dokumenten, die sofort geöffnet werden sollen.

Wie TCLBanker Bankkunden täuschen kann

Die Schadsoftware beobachtet laut Analyse, welche Webseiten im Browser geöffnet werden. Sobald ein Opfer eine überwachte Bank-, Fintech- oder Krypto-Seite besucht, kann TCLBanker aktiv werden. Berichte nennen 59 Zielplattformen. Besonders problematisch sind sogenannte Overlays. Dabei legt die Malware ein täuschend echtes Fenster über die eigentliche Webseite. Sie sehen dann möglicherweise eine angebliche Abfrage, einen Hinweis vom Bank-Support, ein Formular für Zugangsdaten oder einen vorgetäuschten Wartebildschirm. In Wirklichkeit kontrollieren Angreifer diese Einblendung. So können sie Daten abgreifen oder Sie dazu bringen, eine Aktion zu bestätigen.

Der Banking-Trojaner TCLBanker zeigt damit, dass nicht jede sichtbare Meldung im Browser wirklich von Ihrer Bank stammt. Prüfen Sie ungewöhnliche Abfragen sehr genau. Geben Sie niemals TANs, PINs oder Freigaben weiter, wenn der Vorgang nicht eindeutig von Ihnen gestartet wurde.

Was Sie als Bankkunde jetzt beachten sollten

Für Sie zählt vor allem ein ruhiges und vorsichtiges Vorgehen. Laden Sie keine Programme aus Chat-Nachrichten, privaten Cloud-Links oder unerwarteten E-Mails herunter. Nutzen Sie offizielle Webseiten der Hersteller oder vertrauenswürdige App-Stores. Halten Sie Windows, Browser, Outlook, WhatsApp Desktop und andere häufig genutzte Programme aktuell. Eine aktuelle Antivirensoftware ist ebenfalls wichtig. Sie kann bekannte Schadprogramme erkennen, verdächtige Dateien blockieren und Sie vor gefährlichen Webseiten warnen.

Aktivieren Sie außerdem die Zwei-Faktor-Authentisierung überall dort, wo sie verfügbar ist. Prüfen Sie jede Freigabe in Ihrer Banking-App genau. Stimmen Empfänger, Betrag oder Verwendungszweck nicht, brechen Sie den Vorgang ab.

Der Banking-Trojaner TCLBanker zeigt, dass technische Schutzmaßnahmen und vorsichtiges Verhalten zusammengehören. Im Zweifel kontaktieren Sie Ihre Bank über die bekannte Telefonnummer oder über die offizielle App.

Was im Verdachtsfall zu tun ist

Wenn Sie glauben, dass Ihr Gerät infiziert ist, sollten Sie schnell handeln. Trennen Sie den Rechner vom Internet, damit die Schadsoftware keine weiteren Daten übertragen kann. Nutzen Sie für Ihr Online-Banking vorerst ein anderes, sauberes Gerät. Informieren Sie Ihre Bank sofort, wenn Sie verdächtige Abbuchungen, unbekannte Freigaben oder ungewöhnliche Meldungen gesehen haben. Lassen Sie betroffene Konten prüfen und sperren Sie Zugänge, wenn die Bank dazu rät. Ändern Sie Passwörter erst von einem sicheren Gerät aus. Prüfen Sie außerdem WhatsApp Web und Outlook auf unbekannte Sitzungen oder verdächtige gesendete Nachrichten. Warnen Sie Kontakte, falls über Ihr Konto Links verschickt wurden.