Nach Angaben von Cleafy beginnt die Infektionskette mit Werbeanzeigen für Apps auf Facebook- und Instagram. Nutzer werden auf IPTV- oder Sport-Streaming-Seiten gelockt, die Downloads nur auf mobilen Geräten erlauben. Dort laden sie Dropper-Apps von GitHub, die den eigentlichen Schadcode entpacken und Mirax unbemerkt im Hintergrund installieren.

Mirax gibt sich als Video-App aus, erzwingt Bedienhilfe-Berechtigungen und nutzt HTML-Overlays, Bildschirmzugriff sowie Keylogging, um Zugangsdaten, PINs und weitere sensible Informationen aus Banking- und Krypto-Apps zu stehlen.

Auswertungen des Sicherheitsunternehmens Kaspersky zeigen, dass Angriffe mit Banking-Trojanern im Jahr 2025 im Vergleich zu 2024 um 56 Prozent zugenommen haben – insgesamt wurden mehr als 255.000 neue Schadprogramme entdeckt. Häufig tarnen sich diese als vermeintlich harmlose Anwendungen, etwa Rabatt- oder Supermarkt-Apps, und infizieren das Gerät unbemerkt.

Fachleute betonen, dass Android aufgrund seiner offenen Architektur besonders verwundbar für derartige Angriffe ist. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) empfiehlt dringend, Apps ausschließlich aus offiziellen Stores zu installieren und Berechtigungen sorgfältig zu prüfen.