Perseus & Massiv: Gefährliche Malware in IPTV-Apps 2026

Perseus ist ein Banking-Trojaner, der auf dem Code bekannter Vorgänger wie Cerberus und Phoenix aufbaut, aber deutlich flexibler ist. Verbreitet wird er über Phishing-Websites, die eine Dropper-App als IPTV-Anwendung tarnen. Nach der Installation lädt dieser Dropper die eigentliche Schadsoftware nach. Sicherheitsforscher haben Kampagnen unter anderem in der Türkei, Italien, Polen, Frankreich, Deutschland, den VAE und Portugal beobachtet.

Massiv verfolgt dasselbe Grundprinzip, aber mit anderem Verbreitungsweg: Der Ausgangspunkt ist eine SMS mit einem Link zu einer angeblichen IPTV-App. Nach dem Öffnen fordert die App die Installation eines vermeintlich wichtigen Updates – dafür muss der Nutzer die Installation aus unbekannten Quellen erlauben. Erst dieses zweite Paket enthält den eigentlichen Massiv-Payload. Erste dokumentierte Kampagnen zielten auf Portugal und Griechenland, unter anderem auch auf die offizielle portugiesische Behörden-App gov.pt.

Wichtig für die Einordnung: Massiv ist bislang nicht als gezielt gegen deutsche Nutzer gerichtet dokumentiert. Der Punkt ist ein anderer – der Verbreitungsweg über gefälschte Streaming-Apps ist bei beiden Familien identisch und wird von Cyberkriminellen zunehmend kopiert, weil er funktioniert. Wer die Erkennungsmerkmale einer Familie kennt, erkennt die nächste Variante meist ebenfalls.

Beide Trojaner nutzen sogenannte Overlay-Angriffe: Sobald du eine echte Banking- oder Krypto-App öffnest, legt sich unbemerkt eine gefälschte Eingabemaske darüber. Was du dort eingibst, geht direkt an die Angreifer, während im Hintergrund die echte App normal weiterläuft. Ergänzt wird das durch Keylogging, also das Mitschneiden jeder Tastatureingabe.

Perseus geht dabei einen Schritt weiter, den Sicherheitsforscher so bei Android-Malware noch nicht gesehen hatten: Die Malware durchsucht gezielt Notiz-Apps wie Google Keep, Samsung Notes, Xiaomi Notes, Evernote, Microsoft OneNote und ColorNote nach gespeicherten Passwörtern und Krypto-Seed-Phrasen. Wer sich – wie viele Nutzer – Zugangsdaten oder eine Wallet-Wiederherstellungsphrase in einer normalen Notiz-App notiert hat, ist damit ein direktes Angriffsziel.

Massiv kombiniert die klassischen Elemente mit SMS-Interception: Eingehende Einmalpasswörter (OTP) für die Zwei-Faktor-Authentifizierung werden abgefangen, bevor du sie überhaupt siehst. Zusätzlich verfügt Massiv über eine Fernsteuerungs-Komponente mit Live-Bildschirmstreaming und einer strukturierten UI-Auslesung – die Angreifer sehen dabei nicht nur den Bildschirm, sondern lesen über die Bedienungshilfen-Schnittstelle gezielt Formularfelder und Kontostände aus, auch wenn optisch nichts Auffälliges zu sehen ist.

Ein ungewöhnlich hoher Akkuverbrauch oder spürbare Wärmeentwicklung im Ruhezustand ist ein erstes Warnsignal – Live-Bildschirmstreaming und dauerhafte Hintergrundaktivität kosten Rechenleistung. Dasselbe gilt für einen plötzlich stark gestiegenen Datenverbrauch ohne erkennbaren Grund.

Prüfe unter Einstellungen → Bedienungshilfen (Accessibility), welche Apps dort aktiven Zugriff haben. Ein reiner IPTV-Player hat dort nichts zu suchen. Steht dort eine App, deren Aktivierung du nicht bewusst vorgenommen hast, ist das ein starkes Indiz für eine Infektion.

Weitere Anzeichen: Die Login-Maske deiner Banking-App sieht leicht anders aus als sonst oder fragt ungewöhnlich oft nach dem Passwort, erwartete SMS mit Bestätigungscodes bleiben aus oder verschwinden sofort wieder, oder der Bildschirm reagiert kurz auf Eingaben, die niemand gemacht hat – ein möglicher Hinweis auf eine aktive Fernsteuerungs-Sitzung.

Erstens, die App liegt nicht im Play Store, sondern muss als APK von einer Website, per SMS-Link oder über Telegram geladen werden. Zweitens, es gibt keinen nachvollziehbaren Entwicklernamen und kein Impressum – nur eine generische Bezeichnung, die bei jedem Update wechseln kann.

Drittens, die Bewertungen wirken künstlich: durchgehend fünf Sterne, ähnliche Formulierungen, alle innerhalb weniger Tage. Viertens, die App fordert Berechtigungen an, die ein Video-Player nie braucht – Bedienungshilfen, SMS lesen, Kontakte, Overlay über anderen Apps. Fünftens, direkt nach der Erstinstallation folgt die Aufforderung, ein „wichtiges Update“ außerhalb des Stores zu installieren – genau der Mechanismus, über den Massiv seinen eigentlichen Payload nachlädt.

Sechstens, die Beschreibung verspricht auffällig viel für auffällig wenig (alle Ligen, alle Sender, unbegrenzt) ohne jede technische oder rechtliche Einordnung des Anbieters. Siebtens, der Link zur App kam über eine Massennachricht per SMS oder WhatsApp, oft mit einem verkürzten Link, statt über eine offizielle Ankündigung. Sobald zwei oder mehr dieser Punkte zutreffen, ist Vorsicht geboten – unabhängig davon, wie professionell die Oberfläche wirkt. Eine ausführlichere, allgemeine Anleitung zum Erkennen von Fake-Apps findest du in unserem Leitfaden, welche IPTV-App wirklich sicher ist (/blog/welche-iptv-app-ist-wirklich-sicher-fake-apps-erkennen-malware-sicherheit-2026).

Die zuverlässigste Grundregel: Player-App und Zugangsdaten trennen. Ein etablierter, im Play Store geprüfter Player wie TiviMate, IPTV Smarters oder Kodi wird ausschließlich aus dem offiziellen Store geladen. Die eigentliche Playlist beziehungsweise die Xtream-Zugangsdaten kommen separat vom Anbieter und werden manuell im Player hinterlegt – niemals als fertige „Komplett-App“ von unbekannter Quelle. Einen ausführlichen Vergleich der etablierten Player findest du hier: /blog/beste-iptv-apps-4k-vergleich-tivimate-smarters-kodi-2026.

Auf Geräten wie dem Fire TV Stick oder einer Android-Box ist die Store-Disziplin besonders wichtig, weil beide auf einem offenen Android-Unterbau laufen und Sideloading technisch erlauben. Eine saubere Einrichtung über den offiziellen Amazon Appstore beschreibt unsere Anleitung zum Fire-TV-Stick-Setup (/blog/fire-tv-stick-iptv-einrichten-anleitung); einen Geräte-Vergleich für 4K-taugliche Android-Boxen findest du unter /blog/android-box-iptv-4k-2026-test-vergleich.

Ist die App-Quelle einmal geklärt, lohnt sich der nächste Schritt: die richtige Konfiguration für flüssiges 4K-Bild ohne Puffern, etwa über Hardware-Dekodierung und passende Puffer-Einstellungen – dazu im Detail: /blog/iptv-player-einstellungen-4k-hardware-dekodierung-buffer.

Trenne das Gerät sofort vom WLAN oder aktiviere den Flugmodus. Damit unterbrichst du eine mögliche aktive Fernsteuerungs-Sitzung und stoppst die Datenübertragung an den Server der Angreifer, bevor du irgendetwas anderes tust.

Wechsle danach auf ein zweites, sauberes Gerät und ändere von dort aus die Passwörter aller sensiblen Konten – beginnend mit Online-Banking und E-Mail. War Perseus im Spiel, gilt das ausdrücklich auch für alle Zugangsdaten und Krypto-Wiederherstellungsphrasen, die in einer Notiz-App gespeichert waren; lösche diese Einträge und lege sie nur noch in einem dedizierten Passwort-Manager ab. War Massiv im Spiel, stelle die Zwei-Faktor-Authentifizierung von SMS auf eine Authenticator-App um, da SMS-Codes abgefangen worden sein könnten.

Kontaktiere deine Bank aktiv und weise auf einen möglichen Betrugsfall hin, auch ohne bereits eine verdächtige Buchung gesehen zu haben. Setze das betroffene Gerät anschließend vollständig auf Werkseinstellungen zurück – ein einfaches Deinstallieren der App reicht nicht aus, wenn bereits Systemrechte wie Bedienungshilfen vergeben wurden.

Stammt die App aus dem Play Store oder aus einem offiziellen Hersteller-Store, oder wird sie als APK-Link per SMS, WhatsApp oder Forum verbreitet? Gibt es einen echten, überprüfbaren Entwicklernamen mit Historie statt einer generischen Bezeichnung?

Passen die angeforderten Berechtigungen zum Zweck der App – ein Player braucht keinen Zugriff auf SMS, Bedienungshilfen oder Notiz-Apps? Wirken die Bewertungen organisch gewachsen über mehrere Wochen, statt gehäuft und gleichlautend?

Folgt direkt nach der Installation eine Aufforderung, ein weiteres Paket außerhalb des Stores zu installieren? Falls ja: abbrechen, deinstallieren, keine weitere Eingabe. Wer nach dieser Kurzprüfung noch unsicher ist, findet die ausführliche Version im Leitfaden, welche IPTV-App wirklich sicher ist (/blog/welche-iptv-app-ist-wirklich-sicher-fake-apps-erkennen-malware-sicherheit-2026).