Datzbro Banking Trojan

Cybersikkerhedsforskere har for nylig afsløret en hidtil udokumenteret Android-banktrojan ved navn Datzbro, der er designet til at udføre DTO-angreb (Device Takeover) og udføre svigagtige finansielle transaktioner. Malwaren er primært rettet mod ældre brugere og udnytter deres tillid gennem sociale mediebaserede social engineering-kampagner.

Social manipulation gennem Facebook-grupper

Kampagnen blev først opdaget i august 2025 efter rapporter fra australske brugere. Trusselaktører administrerede Facebook-grupper, der promoverede 'aktive seniorture', målrettet ældre personer, der var interesserede i sociale aktiviteter, begivenheder og fysiske sammenkomster. Yderligere berørte regioner omfatter Singapore, Malaysia, Canada, Sydafrika og Storbritannien.

Disse Facebook-grupper deler ofte AI-genereret indhold og hævder at organisere arrangementer for seniorer. Hvis et mål udtrykker interesse, kontakter angriberne dem via Facebook Messenger eller WhatsApp og beder dem om at downloade en APK-fil fra et falsk link (f.eks. download.seniorgroupapps.com).

De falske hjemmesider promoverer en såkaldt fællesskabsapplikation og hævder, at den vil give seniorer mulighed for at:

• Tilmeld dig arrangementer og aktiviteter.
• Forbind dig med andre gruppemedlemmer.
• Spor kommende tidsplaner.

Nogle websteder indeholder endda pladsholderlinks til en iOS-app, hvilket antyder, at angriberne sigter mod både Android- og iOS-brugere ved at distribuere TestFlight-apps til iOS i et forsøg på at narre ofrene.

Hvordan Datzbro inficerer enheder

Når et offer downloader Android-appen, gør det enten:

• Installerer malwaren direkte på enheden, eller
• Implementerer en dropper oprettet med Zombinder, en APK-bindingstjeneste, der omgår sikkerhedsrestriktioner på Android 13 og nyere.

Adskillige ondsindede apps er blevet identificeret, der distribuerer Datzbro, herunder:

• Seniorgruppe (twzlibwr.rlrkvsdw.bcfwgozi)
• Livlige År (orgLivelyYears.browses646)
• ActiveSenior (com.forest481.security)
• DanceWave (inedpnok.kfxuvnie.mggfqzhl)

Kapabiliteter og økonomiske trusler

Datzbro har en bred vifte af funktioner mod spyware og økonomisk svindel, herunder:

• Optagelse af lyd og optagelse af billeder.
• Adgang til filer og fotos.
• Udførelse af overlay-angreb, keylogging og fjernstyring af enheder.
• Brug af Android-tilgængelighedstjenester til at udføre automatiserede handlinger på offerets vegne.

En bemærkelsesværdig funktion er dens skematiske fjernbetjeningstilstand, som sender detaljerede oplysninger om alle skærmelementer, deres position og indhold til angriberne. Dette giver dem mulighed for at replikere brugerfladen og fuldt ud styre enheden eksternt.

Derudover kan Datzbro:

• Vis semi-transparente overlejringer med brugerdefineret tekst for at skjule ondsindet aktivitet.
• Stjæl pinkoder og adgangskoder til Alipay og WeChat på enhedernes låseskærm.
• Scan tilgængelighedslogfiler for bank- eller kryptovaluta-tegnebøger, og udtræk loginoplysninger.

Disse funktioner fremhæver malwarens fokus på økonomisk gevinst og forvandler det, der starter som spyware, til en sofistikeret trussel til at stjæle følsomme bankoplysninger.

Attribuerings- og kommando-og-kontrolinfrastruktur

Analyse tyder på, at Datzbro er forbundet med en kinesisktalende trusselsgruppe, hvilket fremgår af kinesiske fejlfindings- og logstrenge i malwarens kildekode. I modsætning til mange malwarefamilier, der er afhængige af webbaserede C2-paneler, opretter Datzbro forbindelse til en kinesisksproget desktopapplikation til kommando- og kontroloperationer.

En samlet version af denne C2-app er blevet lækket til et offentligt virusarkiv, hvilket indikerer, at malwaren nu muligvis distribueres frit blandt cyberkriminelle, hvilket øger dens potentielle rækkevidde.

Implikationer for mobil sikkerhed

Opdagelsen af Datzbro illustrerer udviklingen af mobile trusler, især dem, der udnytter social engineering til at målrette sårbare befolkningsgrupper. Ved at fokusere på seniorer og udnytte tilsyneladende godartede Facebook-begivenheder kan angribere eskalere en simpel social interaktion til overtagelse af enheder, tyveri af legitimationsoplysninger og økonomisk svindel.

Denne kampagne fremhæver vigtigheden af årvågenhed inden for mobilsikkerhed, især for ældre brugere, der kan være mål for angreb via tillidsbaserede sociale netværk.