Банков троянец Datzbro

Изследователи по киберсигурност наскоро откриха недокументиран досега троянски кон за Android, наречен Datzbro, предназначен за извършване на атаки за превземане на устройства (DTO) и провеждане на измамни финансови транзакции. Зловредният софтуер е насочен предимно към възрастни потребители, като експлоатира доверието им чрез кампании за социално инженерство, базирани на социалните медии.

Социално инженерство чрез Facebook групи

Кампанията е открита за първи път през август 2025 г. след доклади от австралийски потребители. Злоумишлениците са управлявали групи във Facebook, популяризиращи „активни пътувания за възрастни хора“, насочени към възрастни хора, интересуващи се от социални дейности, събития и събирания на живо. Други засегнати региони включват Сингапур, Малайзия, Канада, Южна Африка и Обединеното кралство.

Тези Facebook групи често споделят генерирано от изкуствен интелект съдържание, твърдейки, че организират събития за възрастни хора. Ако дадена цел прояви интерес, нападателите се свързват с нея чрез Facebook Messenger или WhatsApp, подканвайки я да изтегли APK файл от измамна връзка (напр. download.seniorgroupapps.com).

Фалшивите уебсайтове рекламират така нареченото приложение за общност, твърдейки, че то ще позволи на възрастните хора да:

• Регистрирайте се за събития и дейности.
• Свържете се с други членове на групата.
• Проследявайте предстоящите графици.

Някои сайтове дори съдържат заместващи връзки за iOS приложение, което предполага, че нападателите се стремят да атакуват потребители както на Android, така и на iOS, разпространявайки TestFlight приложения за iOS в опит да заблудят жертвите.

Как Datzbro заразява устройства

Когато жертвата изтегли приложението за Android, тя извършва следните действия:

• Инсталира зловредния софтуер директно на устройството или
• Разгръща дропър, създаден със Zombinder, услуга за свързване на APK файлове, която заобикаля ограниченията за сигурност на Android 13 и по-нови версии.

Идентифицирани са няколко злонамерени приложения, разпространяващи Datzbro, включително:

• Група за възрастни (twzlibwr.rlrkvsdw.bcfwgozi)
• Живи години (orgLivelyYears.browses646)
• ActiveSenior (com.forest481.security)
• DanceWave (inedpnok.kfxuvnie.mggfqzhl)
• 作业帮 (io.mobile.Itool)

• 麻豆传媒 (fsxhibqhbh.hlyzqkd.aois)

• 麻豆传媒 (mobi.audio.aassistant)

• 谷歌浏览器 (tvmhnrvsp.zltixkpp.mdok)

• MT管理器 (varuhphk.vadneozj.tltldo)

• MT管理器 (spvojpr.bkkhxobj.twfwf)

• 大麦 (mnamrdrefa.edldylo.zish)

• MT管理器 (io.red.studio.tracker)

Възможности и финансови заплахи

Datzbro притежава широк набор от функционалности за шпионски софтуер и финансови измами, включително:

• Записване на аудио и правене на снимки.
• Достъп до файлове и снимки.
• Извършване на атаки с наслагване, кейлогинг и дистанционно управление на устройства.
• Използване на услуги за достъпност на Android за извършване на автоматизирани действия от името на жертвата.

Отличителна черта е схематичният режим на дистанционно управление, който изпраща подробна информация за всички елементи на екрана, тяхната позиция и съдържание на нападателите. Това им позволява да репликират интерфейса и да контролират устройството напълно дистанционно.

Освен това, Datzbro може:

• Показвайте полупрозрачни наслагвания с персонализиран текст, за да скриете злонамерена активност.
• Откраднете ПИН кодове и пароли за заключване на екрана на устройството за Alipay и WeChat.
• Сканирайте регистрационни файлове за събития за достъпност за банкови приложения или приложения за портфейли с криптовалута и извлечете идентификационни данни.

Тези функции подчертават фокуса на зловредния софтуер върху финансова печалба, превръщайки това, което започва като шпионски софтуер, в сложна заплаха за кражба на чувствителна банкова информация.

Инфраструктура за атрибуция и командване и контрол

Анализът показва, че Datzbro е свързан с китайскоговоряща група заплахи, както се вижда от китайските низове за дебъгване и регистриране в изходния код на зловредния софтуер. За разлика от много семейства злонамерен софтуер, които разчитат на уеб-базирани C2 панели, Datzbro се свързва с китайско-езично десктоп приложение за командни и контролни операции.

Компилирана версия на това C2 приложение е изтекла в публично хранилище за вируси, което показва, че зловредният софтуер вече може да се разпространява свободно сред киберпрестъпниците, увеличавайки потенциалния му обхват.

Последици за мобилната сигурност

Откритието на Datzbro илюстрира еволюцията на мобилните заплахи, особено тези, които използват социално инженерство, за да се насочат към уязвими групи от населението. Като се фокусират върху възрастните хора и използват привидно безобидни събития във Facebook, нападателите могат да ескалират едно просто социално взаимодействие до превземане на устройства, кражба на идентификационни данни и финансови измами.

Тази кампания подчертава значението на бдителността в мобилната сигурност, особено за възрастните потребители, които могат да бъдат обект на атаки чрез социални мрежи, основани на доверие.