Troià bancari Datzbro

Investigadors de ciberseguretat han descobert recentment un troià bancari d'Android sense documentar prèviament anomenat Datzbro, dissenyat per realitzar atacs de presa de control de dispositius (DTO) i dur a terme transaccions financeres fraudulentes. El programari maliciós s'adreça principalment a usuaris d'edat avançada, explotant la seva confiança mitjançant campanyes d'enginyeria social basades en les xarxes socials.

Enginyeria social a través de grups de Facebook

La campanya es va detectar per primera vegada a l'agost de 2025 després d'informes d'usuaris australians. Els actors amenaçadors gestionaven grups de Facebook que promocionaven "viatges actius per a gent gran", dirigits a persones grans interessades en activitats socials, esdeveniments i reunions presencials. Altres regions afectades inclouen Singapur, Malàisia, Canadà, Sud-àfrica i el Regne Unit.

Aquests grups de Facebook sovint comparteixen contingut generat per IA, afirmant que organitzen esdeveniments per a la gent gran. Si un objectiu expressa interès, els atacants s'hi acosten a través de Facebook Messenger o WhatsApp, demanant-li que descarregui un fitxer APK des d'un enllaç fraudulent (per exemple, download.seniorgroupapps.com).

Els llocs web falsos promouen una suposada aplicació comunitària, afirmant que permetria a la gent gran:

• Registra't per a esdeveniments i activitats.
• Connecta amb altres membres del grup.
• Feu un seguiment dels propers horaris.

Alguns llocs web fins i tot contenen enllaços provisionals per a una aplicació per a iOS, cosa que suggereix que els atacants pretenen atacar tant usuaris d'Android com d'iOS, distribuint aplicacions TestFlight per a iOS en un intent d'enganyar les víctimes.

Com infecta Datzbro els dispositius

Quan una víctima descarrega l'aplicació per a Android, fa una de les dues accions següents:

• Instal·la el programari maliciós directament al dispositiu o
• Implementa un dropper creat amb Zombinder, un servei d'enllaç APK que evita les restriccions de seguretat a Android 13 i versions posteriors.

S'han identificat diverses aplicacions malicioses que distribueixen Datzbro, com ara:

• Grup Sènior (twzlibwr.rlrkvsdw.bcfwgozi)
• Anys Vius (orgLivelyYears.browses646)
• ActiveSenior (com.forest481.security)
• DanceWave (inedpnok.kfxuvnie.mggfqzhl)
• 作业帮 (io.mobile.Itool)

• 麻豆传媒 (fsxhibqhbh.hlyzqkd.aois)

• 麻豆传媒 (mobi.audio.aassistant)

• 谷歌浏览器 (tvmhnrvsp.zltixkpp.mdok)

• MT管理器 (varuhphk.vadneozj.tltldo)

• MT管理器 (spvojpr.bkkhxobj.twfwf)

• 大麦 (mnamrdrefa.edldylo.zish)

• MT管理器 (io.red.studio.tracker)

Capacitats i amenaces financeres

Datzbro posseeix una àmplia gamma de funcionalitats contra programari espia i frau financer, com ara:

• Gravació d'àudio i captura de fotos.
• Accés a fitxers i fotos.
• Realització d'atacs de superposició, keylogging i control remot de dispositius.
• Ús dels serveis d'accessibilitat d'Android per dur a terme accions automatitzades en nom de la víctima.

Una característica destacada és el seu mode de control remot esquemàtic, que envia informació detallada sobre tots els elements de la pantalla, la seva posició i contingut als atacants. Això els permet replicar la interfície i controlar completament el dispositiu de forma remota.

A més, Datzbro pot:

• Mostra superposicions semitransparents amb text personalitzat per ocultar l'activitat maliciosa.
• Robar PIN i contrasenyes de la pantalla de bloqueig del dispositiu per a Alipay i WeChat.
• Escaneja els registres d'esdeveniments d'accessibilitat per a aplicacions de cartera bancària o de criptomoneda i extreu-ne les credencials.

Aquestes funcions destaquen l'enfocament del programari maliciós en el guany financer, convertint el que comença com a programari espia en una amenaça sofisticada per robar informació bancària confidencial.

Infraestructura d’atribució i comandament i control

L'anàlisi suggereix que Datzbro està vinculat a un grup d'amenaces de parla xinesa, tal com ho demostren les cadenes de depuració i registre xineses al codi font del programari maliciós. A diferència de moltes famílies de programari maliciós que es basen en panells C2 basats en web, Datzbro es connecta a una aplicació d'escriptori en xinès per a operacions de comandament i control.

Una versió compilada d'aquesta aplicació C2 s'ha filtrat a un repositori públic de virus, cosa que indica que el programari maliciós ara es pot distribuir lliurement entre els ciberdelinqüents, augmentant el seu abast potencial.

Implicacions per a la seguretat mòbil

El descobriment de Datzbro il·lustra l'evolució de les amenaces mòbils, en particular les que exploten l'enginyeria social per atacar poblacions vulnerables. Centrant-se en la gent gran i aprofitant esdeveniments de Facebook aparentment benignes, els atacants poden convertir una simple interacció social en una apropiació de dispositius, robatori de credencials i frau financer.

Aquesta campanya destaca la importància de la vigilància en la seguretat mòbil, especialment per als usuaris de la tercera edat que poden ser objectiu d'atacs a través de xarxes socials basades en la confiança.