Bankovní trojan Datzbro

Výzkumníci v oblasti kybernetické bezpečnosti nedávno odhalili dříve nezdokumentovaný bankovní trojský kůň pro Android s názvem Datzbro, který je navržen k provádění útoků typu „device takeover“ (DTO) a podvodných finančních transakcí. Malware cílí především na starší uživatele a zneužívá jejich důvěru prostřednictvím kampaní sociálního inženýrství založených na sociálních médiích.

Sociální inženýrství prostřednictvím facebookových skupin

Kampaň byla poprvé odhalena v srpnu 2025 na základě hlášení od australských uživatelů. Aktéři útoku spravovali facebookové skupiny propagující „aktivní výlety pro seniory“ zaměřené na starší osoby se zájmem o společenské aktivity, události a osobní setkání. Mezi další postižené regiony patří Singapur, Malajsie, Kanada, Jihoafrická republika a Spojené království.

Tyto facebookové skupiny často sdílejí obsah generovaný umělou inteligencí a tvrdí, že pořádají akce pro seniory. Pokud cíl projeví zájem, útočníci ho osloví prostřednictvím Facebook Messengeru nebo WhatsAppu a vyzvou ho ke stažení souboru APK z podvodného odkazu (např. download.seniorgroupapps.com).

Falešné webové stránky propagují tzv. komunitní aplikaci, která tvrdí, že by seniorům umožnila:

• Zaregistrujte se na akce a aktivity.
• Spojte se s ostatními členy skupiny.
• Sledujte nadcházející plány.

Některé weby dokonce obsahují zástupné odkazy pro aplikace pro iOS, což naznačuje, že útočníci se zaměřují na uživatele Androidu i iOS a distribuují aplikace TestFlight pro iOS ve snaze oběti oklamat.

Jak Datzbro infikuje zařízení

Když si oběť stáhne aplikaci pro Android, provede jednu z následujících akcí:

• Nainstaluje malware přímo do zařízení, nebo
• Nasazuje dropper vytvořený pomocí Zombinderu, služby pro vazbu APK, která obchází bezpečnostní omezení v systému Android 13 a novějších verzích.

Bylo identifikováno několik škodlivých aplikací distribuujících Datzbro, včetně:

• Skupina pro seniory (twzlibwr.rlrkvsdw.bcfwgozi)
• Živá léta (orgLivelyYears.browses646)
• ActiveSenior (com.forest481.security)
• DanceWave (inedpnok.kfxuvnie.mggfqzhl)
• 作业帮 (io.mobile.Itool)

• 麻豆传媒 (fsxhibqhbh.hlyzqkd.aois)

• 麻豆传媒 (mobi.audio.aassistant)

• 谷歌浏览器 (tvmhnrvsp.zltixkpp.mdok)

• MT管理器 (varuhphk.vadneozj.tltldo)

• MT管理器 (spvojpr.bkkhxobj.twfwf)

• 大麦 (mnamrdrefa.edldylo.zish)

• MT管理器 (io.red.studio.tracker)

Schopnosti a finanční hrozby

Datzbro disponuje širokou škálou funkcí pro spyware a finanční podvody, včetně:

• Nahrávání zvuku a pořizování fotografií.
• Přístup k souborům a fotografiím.
• Provádění overlay útoků, keylogging a vzdálené ovládání zařízení.
• Používání služeb usnadnění přístupu v systému Android k provádění automatizovaných akcí jménem oběti.

Výraznou vlastností je schematický režim dálkového ovládání, který útočníkům odesílá podrobné informace o všech prvcích obrazovky, jejich poloze a obsahu. To jim umožňuje replikovat rozhraní a plně ovládat zařízení na dálku.

Kromě toho může Datzbro:

• Zobrazujte poloprůhledné překryvy s vlastním textem pro skrytí škodlivé aktivity.
• Ukradněte PIN kódy a hesla pro uzamčení obrazovky zařízení pro Alipay a WeChat.
• Prohledávejte protokoly událostí přístupnosti pro bankovní aplikace nebo aplikace kryptoměnových peněženek a extrahujte přihlašovací údaje.

Tyto funkce zdůrazňují zaměření malwaru na finanční zisk a mění to, co začíná jako spyware, v sofistikovanou hrozbu pro krádež citlivých bankovních informací.

Infrastruktura atribuce a velení a řízení

Analýza naznačuje, že Datzbro je propojeno s čínsky mluvící skupinou hrozeb, o čemž svědčí čínské ladící a logovací řetězce ve zdrojovém kódu malwaru. Na rozdíl od mnoha rodin malwaru, které se spoléhají na webové panely C2, se Datzbro připojuje k čínsky psané desktopové aplikaci pro operace velení a řízení.

Zkompilovaná verze této aplikace C2 unikla do veřejného virového úložiště, což naznačuje, že malware by nyní mohl být volně distribuován mezi kyberzločinci, což zvyšuje jeho potenciální dosah.

Důsledky pro mobilní bezpečnost

Objev Datzbro ilustruje vývoj mobilních hrozeb, zejména těch, které zneužívají sociální inženýrství k cílení na zranitelné skupiny obyvatelstva. Zaměřením se na seniory a využitím zdánlivě neškodných událostí na Facebooku mohou útočníci eskalovat jednoduchou sociální interakci v ovládnutí zařízení, krádež přihlašovacích údajů a finanční podvody.

Tato kampaň zdůrazňuje důležitost bdělosti v oblasti mobilní bezpečnosti, zejména pro starší uživatele, kteří mohou být cílem útoků prostřednictvím sociálních sítí založených na důvěře.