Xbot ist eine Android-Malware-Familie, die als Banking-Trojaner und als Ransomware zugleich fungiert. Die Schadsoftware nutzt Phishing-Seiten, die Bank-Login-Seiten nachahmen, verschl\u00fcsselt Dateien auf externen Speichermedien wie SD-Karten<\/strong> und sperrt infizierte Ger\u00e4te, um zus\u00e4tzlich L\u00f6segeld zu erpressen. Das MITRE-ATT&CK-Framework f\u00fchrt Xbot unter der Kennung S0298, was eine einheitliche Zuordnung von Erkennungsregeln und Analysen erm\u00f6glicht. Laut MITRE ATT&CK wurde die Malware 2016 beobachtet und richtete sich vor allem gegen Android-Nutzer in Russland und Australien; nach der Installation konnte sie sowohl Phishing-Seiten f\u00fcr Bank-Logins anzeigen als auch das Ger\u00e4t sperren. Als L\u00f6segeld forderte Xbot in dokumentierten F\u00e4llen PayPal-Guthabenkarten<\/strong>.<\/p>\n Ein betroffener Mitarbeiter eines Versicherers kann bei einer Xbot-Infektion doppelt betroffen sein: Die Verschl\u00fcsselung von Dateien auf der SD-Karte nimmt ihm den Zugriff auf dort gespeicherte Unterlagen, w\u00e4hrend eingeblendete Phishing-Seiten f\u00fcr Bank-Logins die Vertraulichkeit pers\u00f6nlicher oder dienstlicher Finanzdaten gef\u00e4hrden. Nutzt ein Mitarbeiter dasselbe Mobilger\u00e4t f\u00fcr private Bank-Apps und dienstliche Kommunikation<\/strong>, kann eine einzelne Infektion beide Bereiche gleichzeitig betreffen. F\u00fcr den Umgang mit einem Verdachtsfall z\u00e4hlt deshalb sowohl die Wiederherstellung der Ger\u00e4tedaten als auch eine unabh\u00e4ngige Pr\u00fcfung, ob Bankzug\u00e4nge kompromittiert wurden.<\/p>\n Xbot kombiniert zwei Schadfunktionen, die auf demselben urspr\u00fcnglichen Zugang zum Ger\u00e4t aufbauen: das Abgreifen von Bank-Logins \u00fcber Phishing-Seiten und die Erpressung \u00fcber Dateiverschl\u00fcsselung und Ger\u00e4tesperre. Laut SecurityWeek wurde die Schadsoftware in 22 Android-Anwendungen gefunden; sie fordert vom Nutzer Administratorrechte an. Zudem zeigt Xbot Phishing-Seiten an, die Bank-Login-Seiten und die Zahlungsoberfl\u00e4che von Google Play nachahmen<\/strong>. Zus\u00e4tzlich kann die Malware Dateien auf externen Speichermedien wie SD-Karten verschl\u00fcsseln und das Ger\u00e4t aus der Ferne sperren, sodass der Nutzer weder auf diese Dateien noch auf die Grundfunktionen des Ger\u00e4ts zugreifen kann. Die Freigabe verkn\u00fcpft Xbot mit einer L\u00f6segeldforderung, die in dokumentierten F\u00e4llen auf PayPal-Guthabenkarten lautete. Die Kombination aus Phishing und Ger\u00e4teblockade verschafft den Angreifern damit zwei getrennte Wege, aus einer einzigen Infektion einen finanziellen Vorteil zu ziehen, selbst wenn eine der beiden Schadfunktionen fr\u00fchzeitig entdeckt und unterbunden wird<\/strong>.<\/p>\n KI-generiert<\/em><\/p>\n","protected":false},"featured_media":0,"template":"","glossary_intl_topic":[393,396,399],"class_list":["post-33680","glossary_intl","type-glossary_intl","status-publish","hentry","glossary_intl_topic-cybersecurity","glossary_intl_topic-angriffe-bedrohungen","glossary_intl_topic-ransomware"],"acf":{"card_description":"Xbot: Android-Malware, die als Banking-Trojaner und Ransomware zugleich Bank-Logins per Phishing angreift und Ger\u00e4te sperrt.","nav_theme":"Angriffe & Bedrohungen","nav_subtheme":"Ransomware","dataset_version":"","term_inline":"","term_plural":false,"heading_overrides":null,"synonyms":null,"lead_definition":"Xbot ist eine Android-Malware-Familie, die als Banking-Trojaner und als Ransomware zugleich fungiert, indem sie Bank-Logins per Phishing-Seiten angreift, Dateien auf externen Speichermedien verschl\u00fcsselt und infizierte Ger\u00e4te sperrt, um L\u00f6segeld zu erpressen.","at_a_glance":[{"bullet":"Xbot ist im MITRE-ATT&CK-Framework unter der Kennung S0298 erfasst, was Sicherheitsteams eine einheitliche Referenz f\u00fcr Erkennungsregeln und Berichte liefert."},{"bullet":"Als L\u00f6segeld verlangt Xbot laut MITRE ATT&CK eine PayPal-Guthabenkarte."},{"bullet":"Weil Xbot Bank-Logins per Phishing angreift und zudem Dateien verschl\u00fcsseln sowie Ger\u00e4te sperren kann, beeintr\u00e4chtigt ein einzelner Infektionsfall unter Umst\u00e4nden sowohl die Vertraulichkeit von Zugangsdaten als auch die Verf\u00fcgbarkeit des Ger\u00e4ts."}],"intro_answer":"","steps_answer":"","steps":null,"examples":[{"example":"Bei den 2016 beobachteten Angriffen auf Android-Nutzer in Russland und Australien konnte Xbot Dateien auf SD-Karten verschl\u00fcsseln und anschlie\u00dfend eine PayPal-Guthabenkarte als L\u00f6segeld verlangen."},{"example":"Nach der Installation zeigte Xbot Phishing-Seiten f\u00fcr Bank-Logins an und sperrte das Ger\u00e4t per Fernbefehl."},{"example":"Eine scheinbar harmlose App mit eingebettetem Xbot fordert Administratorrechte an; werden sie gew\u00e4hrt, kann die Malware das Ger\u00e4tepasswort zur\u00fccksetzen und den Bildschirm sperren."},{"example":"Nutzt ein Mitarbeiter eines Versicherers ein privates Android-Ger\u00e4t auch f\u00fcr dienstliche Zwecke, kann eine Xbot-Infektion sowohl auf der SD-Karte gespeicherte Arbeitsunterlagen verschl\u00fcsseln als auch dem Mitarbeiter Phishing-Seiten f\u00fcr sein privates Bank-Login unterschieben."}],"misconception":[{"myth":"Ein Irrtum ist die Annahme, Ransomware auf Mobilger\u00e4ten beschr\u00e4nke sich auf das Sperren des Bildschirms, ohne dass Daten selbst verschl\u00fcsselt werden.","reality":"Xbot widerlegt das: Die Malware verschl\u00fcsselt zus\u00e4tzlich Dateien auf externen Speichermedien und nutzt Phishing-Seiten, die Bank-Login-Seiten nachahmen; die reine Bildschirmsperre ist nur eine von mehreren Schadfunktionen."}],"faq":null,"compare_answer":"","compare":null,"variants":null,"signals_answer":"","signals":null,"protect_answer":"","prevent":null,"incident":null,"related_terms":[33690,33703,33735,33642],"pillar_link":null,"sources":[{"publisher":"","name":"Xbot, Software S0298","url":"https:\/\/attack.mitre.org\/software\/S0298\/","doc_type":"2025","group":"used"},{"publisher":"","name":"Xbot Android Trojan Steals Banking Info, Encrypts Devices","url":"https:\/\/www.securityweek.com\/xbot-android-trojan-steals-banking-info-encrypts-devices\/","doc_type":"2016","group":"used"},{"publisher":"","name":"Data Encrypted for Impact, Technique T1471 - Mobile","url":"https:\/\/attack.mitre.org\/techniques\/T1471\/","doc_type":"","group":"further"}],"reviewer":{"name":"Jakub Nov\u00e1k","qualification":"System Engineer \u2013 Endpoint Security & Infrastruktur, msg life Slovakia","date":"2026-10-03"},"disclaimer":"Dieser Beitrag dient der allgemeinen Information und ersetzt keine Rechts- oder Sicherheitsberatung. Genannte Vorschriften und Empfehlungen geben den Stand zum Zeitpunkt der Ver\u00f6ffentlichung wieder."},"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\tWie funktioniert Xbot?<\/h2>\n
Woran erkenne ich Xbot?<\/h2>\n
\n\n
\n \nSignal<\/th>\n Woran erkennbar<\/th>\n<\/tr>\n<\/thead>\n \n Ger\u00e4tesperre mit Zahlungsaufforderung in PayPal-Guthabenkarten<\/td>\n Die Sperrmeldung fordert PayPal-Guthabenkarten als L\u00f6segeld an<\/td>\n<\/tr>\n \n Verschl\u00fcsselte Dateien auf externen Speichermedien<\/td>\n Betroffen sind Dateien auf externen Speichermedien wie SD-Karten<\/td>\n<\/tr>\n \n \u00dcberzogene Berechtigungsanfragen einer scheinbar harmlosen App<\/td>\n Eine frisch installierte App fordert weitreichende Berechtigungen wie Administratorrechte an, die f\u00fcr ihren angegebenen Zweck nicht plausibel sind<\/td>\n<\/tr>\n \n Gef\u00e4lschte Eingabemasken \u00fcber Banking-Apps<\/td>\n Beim \u00d6ffnen einer Banking-App erscheint eine zus\u00e4tzliche Eingabemaske, die nicht zur gewohnten App-Oberfl\u00e4che geh\u00f6rt<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n Schutz im Ernstfall<\/h2>\n
Vorbeugen<\/h3>\n
\n
Was tun im Ernstfall<\/h3>\n
\n