Novi Android bankarski trojanac krade lozinke za aplikacije banaka i kripto-berze

Mobilni telefoni, 05.12.2024, 11:00 AM

Istraživači iz kompanije Cleafy otkrili su novog Android bankarskog trojanca pod nazivom „DroidBot“ koji krade podatke za prijavljivanje za više od 77 berza kriptovaluta i aplikacija banaka. DroidBot je aktivan od juna 2024. kao malware-as-a-service (MaaS) platforma. Kriminalci koji žele da koriste DroidBot plaćaju mesečnu pretplatu od 3.000 dolara.

Do sada je identifikovano 17 grupa koje su uz pomoć kreatora malvera koristile malver za napade. Infekcije malverom otkrivene su širom Velike Britanije, Italije, Francuske, Turske i Nemačke, ali Cleafy upozorava da ima naznaka pokušaja širenja malvera na nove regione.

Programeri DroidBota su najverovatnije Turci, koji obezbeđuju filijalama sve alate potrebne za izvođenje napada. Ovo uključuje sam malver, servere za komandu i kontrolu (C2) i centralni administrativni panel sa koga mogu da kontrolišu svoje operacije, preuzimaju ukradene podatke i izdaju komande. Više filijala radi na istoj C2 infrastrukturi. Svakoj grupi dodeljen je jedinstveni identifikator, što je omogućilo Cleafyju da identifikuje 17 grupa koje koriste malver.

Programeri omogućavaju filijalama da prilagode DroidBot za napade na određene aplikacije i različite jezike, pružaju im tehničku podršku i pristup Telegram kanalu gde se redovno objavljuju ažuriranja. Sve u svemu, DroidBot MaaS je tako dizajniran da ga mogu koristiti i neiskusni sajber kriminalci.

DroidBot se često maskira kao Google Chrome, Google Play prodavnica ili „Android Security“. U svim slučajevima, DroidBot deluje kao trojanac koji pokušava da ukrade osetljive informacije iz aplikacija.

Malver može da snima pritisak na tastere žrtve, da prikazuje lažne stranice za prijavu preko interfejsa aplikacija banaka, presreće SMS poruke, posebno one koje sadrže jednokratne lozinke (OTP) za aplikacije banaka, omogućava napadačima da daljinski pregledaju i kontrolišu zaraženi uređaj, izvršavaju komande i zatamne ekran da bi sakrili zlonamernu aktivnost.

DroidBot zloupotrebljava Accessibility Services Androida da bi mogao da prati ono što žrtva radi na uređaju, i simulira pokrete prevlačenja i dodira.

Među 77 aplikacija za koje DroidBot pokušava da ukrade lozinke, su Binance, KuCoin, BBVA, Unicredit, Santander, Metamask, BNP Paribas, Credit Agricole, Kraken i Garanti BBVA.

Korisnicima Androida se savetuje da preuzimaju aplikacije samo sa Google Play, pregledaju zahteve za dozvole nakon instalacije i provere da li je Play Protect aktivan na njihovim uređajima.

Foto: Elisa |Pixabay