Crocodilus Banking Trojan

Cybersikkerhedseksperter har afsløret en ny Android bank malware ved navn Crocodilus, som primært er rettet mod brugere i Spanien og Tyrkiet. I modsætning til mange nye trusler, der starter som rudimentære versioner af eksisterende malware, går Crocodilus ind i cyberkriminalitetslandskabet som en fuldt udviklet, sofistikeret banktrojaner.

Avancerede teknikker til maksimal skade

Crocodilus anvender moderne teknikker som:

• Fjernbetjeningsmuligheder
• Sorte skærmoverlejringer for at skjule dens tilstedeværelse
• Avanceret dataindsamling gennem tilgængelighedslogning

Ligesom andre banktrojanske heste har den til formål at overtage en enhed (DTO) og tillade cyberkriminelle at udføre svigagtige transaktioner. En dybere analyse af dens kildekode og fejlretningsmeddelelser tyder på, at malware-forfatteren er tyrkisktalende.

Forklædt som Google Chrome for at undgå registrering

Crocodilus er designet til at omgå Android 13+ sikkerhedsbegrænsninger ved at udgive sig som Google Chrome (pakkenavn: 'quizzical.washbowl.calamity'). Når den er installeret, anmoder den falske applikation om adgangstilladelser, som giver den fuldstændig kontrol over enheden.

Ved aktivering opretter den forbindelse til en ekstern Command-and-Control-server (C2) for at:

• Modtag yderligere instruktioner
• Hent listen over målrettede finansielle applikationer
• Implementer HTML-overlejringer for at stjæle brugeroplysninger

Cryptocurrency tegnebøger i trådkorset

Crocodilus stopper ikke kun ved bankapplikationer – den retter sig også mod cryptocurrency-punge. I stedet for at bruge en falsk login-side, snyder den ofrene med en svigagtig backup-advarsel og advarer dem om at gemme deres frøsætning inden for 12 timer eller risikere at miste deres aktiver.

Denne social engineering taktik manipulerer ofre til at navigere til deres frøsætninger, som derefter høstes via misbrug af tilgængelighedstjenester. Med disse oplysninger kan angriberne tage kontrol over tegnebogen og dræne dens penge.

Kontinuerlig overvågning og legitimationstyveri

Crocodilus er designet til at køre vedvarende i baggrunden, holde nøje øje med applikationslanceringer og udløse overlejringer for at opsnappe legitimationsoplysninger. Det kan:

• Overvåg alle tilgængelighedsbegivenheder
• Fang alle elementer, der vises på skærmen
• Tag skærmbilleder af Google Authenticator for at omgå to-faktor-godkendelse

Ved at gøre det sikrer Crocodilus, at dets operatører ikke bemærker nogen login-aktivitet.

Stealth Mode: Skjul skadelige aktiviteter

For at forblive uopdaget bruger Crocodilus forskellige stealth-taktikker, herunder:

• Viser en sort skærmoverlejring for at skjule uautoriserede aktiviteter
• Slå lyde fra for at forhindre ofre i at høre mistænkelige alarmer

Disse foranstaltninger gør det meget sværere for ofre at indse, at deres enheder er blevet kompromitteret.

Et kraftfuldt arsenal af skadelige funktioner

Crocodilus er designet med en række truende egenskaber, der giver den mulighed for at tage fuldstændig kontrol over en inficeret enhed. Den kan starte specifikke applikationer, fjerne sig selv fra enheden for at undgå registrering og sende push-beskeder for at manipulere brugeradfærd. Malwaren har også evnen til at sende SMS-beskeder til udvalgte eller alle kontakter, hente kontaktlister og hente en liste over installerede applikationer, hvilket giver angriberne et omfattende overblik over ofrets digitale fodaftryk.

Derudover kan Crocodilus læse SMS-beskeder, anmode om enhedsadministratorrettigheder for at få mere dyb kontrol og aktivere en sort overlejringstilstand for at skjule dets usikre aktiviteter. Den opdaterer regelmæssigt sine Command-and-Control-serverindstillinger (C2) og sikrer, at den kan tilpasse sig og reagere på nye instruktioner fra sine operatører. For at fremme sine stealth-operationer kan den aktivere eller deaktivere lyd, skifte keylogging for at fange brugerinput og endda gøre sig selv til standard SMS-manager, så den kan opsnappe og manipulere kommunikation uopdaget.

Crocodilus: A New Mobile Banking Threat

Fremkomsten af Crocodilus markerer en usikker eskalering i mobile banking malware sofistikering. I modsætning til mange nyopdagede trusler er Crocodilus moden fra starten og udnytter avancerede Device-Takeover-teknikker, fjernbetjeningsfunktioner og sorte overlejringsangreb for at kompromittere brugerne.

Med sin snigende udførelse og robuste sæt funktioner sætter denne malware en ny præcedens for Android-banktrusler, hvilket beviser, at cyberkriminelle konstant forbedrer deres taktik for at være på forkant med sikkerhedsforanstaltninger.