Τραπεζικό Trojan Klopatra

Ένα προηγουμένως άγνωστο trojan τραπεζικών συναλλαγών Android, το Klopatra, έχει παραβιάσει πάνω από 3.000 συσκευές, με την Ισπανία και την Ιταλία να έχουν πληγεί περισσότερο. Ανακαλύφθηκε στα τέλη Αυγούστου 2025 από ερευνητές infosec, αυτό το εξελιγμένο κακόβουλο λογισμικό συνδυάζει δυνατότητες απομακρυσμένης πρόσβασης trojan (RAT) με προηγμένες τεχνικές αποφυγής, στοχεύοντας οικονομικές πληροφορίες και επιτρέποντας δόλιες συναλλαγές.

Εξελιγμένες Τεχνικές Επίθεσης και Τηλεχειρισμός

Το Klopatra αξιοποιεί το Hidden Virtual Network Computing (VNC) για να αποκτήσει απομακρυσμένο έλεγχο των μολυσμένων συσκευών. Χρησιμοποιεί δυναμικές επικαλύψεις για να κλέβει διαπιστευτήρια και να εκτελεί μη εξουσιοδοτημένες συναλλαγές. Σε αντίθεση με το συμβατικό κακόβουλο λογισμικό για κινητά, το Klopatra ενσωματώνει εγγενείς βιβλιοθήκες και την εμπορικής ποιότητας σουίτα προστασίας κώδικα Virbox, καθιστώντας την ανίχνευση και την ανάλυση εξαιρετικά δύσκολη.

Η ανάλυση της υποδομής Command-and-Control (C2) του κακόβουλου λογισμικού και των γλωσσικών ενδείξεων υποδεικνύει ότι μια τουρκόφωνη εγκληματική ομάδα λειτουργεί το Klopatra ως ιδιωτικό botnet, αντί να το προσφέρει ως δημόσιο κακόβουλο λογισμικό ως υπηρεσία (MaaS). Από τον Μάρτιο του 2025, έχουν εντοπιστεί 40 ξεχωριστές εκδόσεις του trojan.

Πώς παρασύρονται τα θύματα

Το Klopatra εξαπλώνεται μέσω τακτικών κοινωνικής μηχανικής, ξεγελώντας τους χρήστες ώστε να εγκαταστήσουν εφαρμογές dropper που παρουσιάζονται ως ακίνδυνα εργαλεία, όπως εφαρμογές streaming IPTV. Αυτές οι εφαρμογές εκμεταλλεύονται την προθυμία των χρηστών να εγκαταστήσουν πειρατικό λογισμικό από μη αξιόπιστες πηγές.

Μόλις εγκατασταθεί, το dropper ζητά δικαιώματα για την εγκατάσταση πακέτων από άγνωστες πηγές. Στη συνέχεια, εξάγει το κύριο ωφέλιμο φορτίο του Klopatra από ένα ενσωματωμένο JSON Packer. Το κακόβουλο λογισμικό ζητά επιπλέον υπηρεσίες προσβασιμότητας Android, οι οποίες, ενώ έχουν σχεδιαστεί για να βοηθούν χρήστες με αναπηρίες, μπορούν να χρησιμοποιηθούν για:

• Ανάγνωση περιεχομένου οθόνης
• Εγγραφή πληκτρολογήσεων
• Εκτελέστε ενέργειες αυτόνομα

Αυτό επιτρέπει στους εισβολείς να διαπράττουν οικονομική απάτη χωρίς τη γνώση του θύματος.

Προηγμένη Αρχιτεκτονική για Αθόρυβη Λειτουργία και Ανθεκτικότητα

Το Klopatra ξεχωρίζει λόγω του προηγμένου, ανθεκτικού σχεδιασμού του:

• Η ενσωμάτωση Virbox προστατεύει το κακόβουλο λογισμικό από την ανάλυση.
• Οι βασικές λειτουργίες μεταφέρθηκαν από την Java σε εγγενείς βιβλιοθήκες για αυξημένη μυστικότητα.
• Η εκτεταμένη συσκότιση κώδικα, η προστασία από τον εντοπισμό σφαλμάτων και οι έλεγχοι ακεραιότητας κατά τον χρόνο εκτέλεσης εμποδίζουν την ανίχνευση.

Το κακόβουλο λογισμικό απενεργοποιεί επίσης το προεγκατεστημένο λογισμικό προστασίας από ιούς και μπορεί να κλιμακώσει τα δικαιώματά του χρησιμοποιώντας υπηρεσίες προσβασιμότητας για να αποτρέψει τον τερματισμό.

Εκτέλεση απάτης και στρατηγικός χρόνος

Οι χειριστές του Klopatra ακολουθούν μια προσεκτικά ενορχηστρωμένη ακολουθία επίθεσης:

• Ελέγξτε αν η συσκευή φορτίζει, η οθόνη είναι σβηστή και η συσκευή είναι σε αδράνεια.
• Μειώστε τη φωτεινότητα της οθόνης στο μηδέν και εμφανίστε μια μαύρη επικάλυψη.
• Χρησιμοποιήστε κλεμμένα PIN ή μοτίβα για να αποκτήσετε πρόσβαση σε τραπεζικές εφαρμογές.
• Εκτελέστε πολλαπλές άμεσες τραπεζικές μεταφορές χωρίς να τις εντοπίσετε.

Αυτή η στρατηγική κατά τη διάρκεια της νύχτας διασφαλίζει ότι οι συσκευές παραμένουν ενεργοποιημένες και χωρίς επίβλεψη, δίνοντας στους επιτιθέμενους ένα ιδανικό παράθυρο για να λειτουργήσουν ενώ τα θύματα κοιμούνται.

Επιπτώσεις για τον Χρηματοπιστωτικό Τομέα

Ενώ το Klopatra δεν επανεφευρίσκει το κακόβουλο λογισμικό για κινητά, αντιπροσωπεύει μια σημαντική κλιμάκωση στην πολυπλοκότητα των απειλών. Υιοθετώντας προστασίες εμπορικής ποιότητας και τακτικές μυστικότητας, οι πάροχοι μεγιστοποιούν τόσο την κερδοφορία όσο και τη διάρκεια ζωής των δραστηριοτήτων τους.

Η Google επιβεβαίωσε ότι δεν έχουν βρεθεί μολυσμένες εφαρμογές στο Google Play, αλλά η εξάρτηση του κακόβουλου λογισμικού από κανάλια διανομής εφαρμογών τρίτων και πειρατικών εφαρμογών υπογραμμίζει τον συνεχιζόμενο κίνδυνο για τους χρήστες κινητών τηλεφώνων.