Datzbro pangandustroojalane

Küberturvalisuse uurijad on hiljuti avastanud seni dokumenteerimata Androidi pangandustrooja nimega Datzbro, mis on loodud seadmete ülevõtmise (DTO) rünnakute tegemiseks ja petturlike finantstehingute tegemiseks. Pahavara on suunatud peamiselt eakatele kasutajatele, kasutades ära nende usaldust sotsiaalmeedia-põhiste sotsiaalse manipuleerimise kampaaniate kaudu.

Sotsiaalne inseneritegevus Facebooki gruppide kaudu

Kampaania avastati esmakordselt 2025. aasta augustis pärast Austraalia kasutajate teateid. Ohtlikud isikud haldasid Facebooki gruppe, mis reklaamisid „aktiivseid eakate reise“, sihtides eakaid inimesi, kes on huvitatud sotsiaalsetest tegevustest, üritustest ja isiklikest koosviibimistest. Lisaks mõjutas see piirkondi Singapur, Malaisia, Kanada, Lõuna-Aafrika Vabariik ja Ühendkuningriik.

Need Facebooki grupid jagavad sageli tehisintellekti loodud sisu, väites, et korraldavad eakatele üritusi. Kui sihtmärk avaldab huvi, pöörduvad ründajad tema poole Facebook Messengeri või WhatsAppi kaudu, ajendades teda petturlikult lingilt (nt download.seniorgroupapps.com) APK-faili alla laadima.

Võltsitud veebisaidid reklaamivad niinimetatud kogukonnarakendust, väites, et see võimaldab pensionäridel:

• Registreeru üritustele ja tegevustele.
• Loo ühendus teiste grupi liikmetega.
• Jälgige eelseisvaid ajakavasid.

Mõned saidid sisaldavad isegi iOS-i rakenduse kohatäitelinke, mis viitab sellele, et ründajad püüavad sihtida nii Androidi kui ka iOS-i kasutajaid, levitades iOS-ile mõeldud TestFlighti rakendusi ohvrite petmiseks.

Kuidas Datzbro seadmeid nakatab

Kui ohver laadib alla Androidi rakenduse, siis see kas:

• Paigaldab pahavara otse seadmesse või
• Juurutab Zombinderiga loodud dropperi. Zombinder on APK sidumisteenus, mis möödub Android 13 ja uuemate versioonide turvapiirangutest.

Datzbro levitamiseks on tuvastatud mitu pahatahtlikku rakendust, sealhulgas:

• Vanemate grupp (twzlibwr.rlrkvsdw.bcfwgozi)
• Elavad aastad (orgElavadAastad.browses646)
• ActiveSenior (com.forest481.security)
• DanceWave (inedpnok.kfxuvnie.mggfqzhl)
• 作业帮 (io.mobile.Itool)

• 麻豆传媒 (fsxhibqhbh.hlyzqkd.aois)

• 麻豆传媒 (mobi.audio.aassistant)

• 谷歌浏览器 (tvmhnrvsp.zltixkpp.mdok)

• MT管理器 (varuhphk.vadneozj.tltldo)

• MT管理器 (spvojpr.bkkhxobj.twfwf)

• 大麦 (mnamrdrefa.edldylo.zish)

• MT管理器 (io.red.studio.tracker)

Võimed ja rahalised ohud

Datzbrol on lai valik nuhkvara ja finantspettuste vastase toimega funktsioone, sealhulgas:

• Heli salvestamine ja fotode jäädvustamine.
• Failidele ja fotodele juurdepääs.
• Ülekatterünnakute, klahvilogimise ja seadmete kaugjuhtimise läbiviimine.
• Androidi ligipääsetavuse teenuste kasutamine ohvri nimel automatiseeritud toimingute tegemiseks.

Selle silmapaistev omadus on skemaatiline kaugjuhtimisrežiim, mis saadab ründajatele üksikasjalikku teavet kõigi ekraanielementide, nende asukoha ja sisu kohta. See võimaldab neil liidest kopeerida ja seadet täielikult eemalt juhtida.

Lisaks saab Datzbro:

• Pahatahtliku tegevuse peitmiseks kuvage kohandatud tekstiga poolläbipaistvaid pealiskihte.
• Varasta seadme lukustuskuva PIN-koodid ja paroolid Alipay ja WeChati jaoks.
• Skannige pangandus- või krüptovaluuta rahakotirakenduste ligipääsetavuse sündmuste logisid ja hankige sealt volitused.

Need funktsioonid rõhutavad pahavara keskendumist rahalisele kasule, muutes algselt nuhkvarana algava keerukaks ohuks tundliku pangateabe varastamiseks.

Omistamise ja juhtimis- ja kontrolli infrastruktuur

Analüüs näitab, et Datzbro on seotud hiinakeelse ohugrupiga, mida tõendavad pahavara lähtekoodis olevad hiinakeelsed silumis- ja logimisstringid. Erinevalt paljudest pahavaraperekondadest, mis tuginevad veebipõhistele C2-paneelidele, loob Datzbro käsu- ja juhtimistoimingute jaoks ühenduse hiinakeelse töölauarakendusega.

Selle C2 rakenduse kompileeritud versioon on lekkinud avalikku viiruste hoidlasse, mis viitab sellele, et pahavara võib nüüd küberkurjategijate seas vabalt levida, suurendades selle potentsiaalset ulatust.

Mõju mobiilside turvalisusele

Datzbro avastamine illustreerib mobiilsete ohtude arengut, eriti nende, mis kasutavad sotsiaalset manipuleerimist haavatavate elanikkonnarühmade sihtimiseks. Keskendudes eakatele ja ära kasutades pealtnäha healoomulisi Facebooki sündmusi, saavad ründajad lihtsa sotsiaalse suhtluse eskaleerida seadme ülevõtmiseks, volituste varguseks ja finantspettuseks.

See kampaania rõhutab valvsuse olulisust mobiilseadmete turvalisuse tagamisel, eriti eakate kasutajate puhul, keda võidakse sihtida usalduspõhiste sotsiaalvõrgustike kaudu.