Datzbro-pankkitroijalainen

Kyberturvallisuustutkijat ovat äskettäin paljastaneet aiemmin dokumentoimattoman Datzbro-nimisen Android-pankkitroijalaisen, joka on suunniteltu suorittamaan laitteen kaappaushyökkäyksiä (DTO) ja vilpillisiä taloudellisia tapahtumia. Haittaohjelma kohdistuu ensisijaisesti iäkkäisiin käyttäjiin ja hyödyntää heidän luottamustaan sosiaaliseen mediaan perustuvien sosiaalisen manipuloinnin kampanjoiden avulla.

Sosiaalinen manipulointi Facebook-ryhmien kautta

Kampanja havaittiin ensimmäisen kerran elokuussa 2025 australialaisten käyttäjien ilmoitusten perusteella. Uhkatoimijat hallinnoivat Facebook-ryhmiä, jotka mainostivat "aktiivisia seniorimatkoja" ja kohdistivat mainoksiaan ikääntyneille, jotka olivat kiinnostuneita sosiaalisista aktiviteeteista, tapahtumista ja henkilökohtaisista kokoontumisista. Muita alueita, joita kampanja koskee, ovat Singapore, Malesia, Kanada, Etelä-Afrikka ja Iso-Britannia.

Nämä Facebook-ryhmät jakavat usein tekoälyn luomaa sisältöä ja väittävät järjestävänsä tapahtumia senioreille. Jos kohde ilmaisee kiinnostuksensa, hyökkääjät lähestyvät häntä Facebook Messengerin tai WhatsAppin kautta ja kehottavat häntä lataamaan APK-tiedoston vilpillisestä linkistä (esim. download.seniorgroupapps.com).

Valesivustot mainostavat niin kutsuttua yhteisösovellusta väittäen, että sen avulla ikäihmiset voisivat:

• Ilmoittaudu tapahtumiin ja aktiviteetteihin.
• Yhdistä muihin ryhmän jäseniin.
• Seuraa tulevia aikatauluja.

Joillakin sivustoilla on jopa iOS-sovelluksen paikkamerkkilinkkejä, mikä viittaa siihen, että hyökkääjät pyrkivät kohdistamaan hyökkäyksensä sekä Android- että iOS-käyttäjiin ja levittämään TestFlight-sovelluksia iOS:lle yrittäen huijata uhreja.

Miten Datzbro tartuttaa laitteita

Kun uhri lataa Android-sovelluksen, se joko:

• Asentaa haittaohjelman suoraan laitteeseen, tai
• Käyttöönottaa Zombinderilla luodun dropperin. Zombinder on APK-sidontapalvelu, joka ohittaa Android 13:n ja uudempien käyttöjärjestelmien tietoturvarajoitukset.

Useita Datzbroa levittäviä haittaohjelmia on tunnistettu, mukaan lukien:

• Senioriryhmä (twzlibwr.rlrkvsdw.bcfwgozi)
• Vilkkaat vuodet (orgElävätVuodet.browses646)
• ActiveSenior (com.forest481.security)
• DanceWave (inedpnok.kfxuvnie.mggfqzhl)
• 作业帮 (io.mobile.Itool)

• 麻豆传媒 (fsxhibqhbh.hlyzqkd.aois)

• 麻豆传媒 (mobi.audio.aassistant)

• 谷歌浏览器 (tvmhnrvsp.zltixkpp.mdok)

• MT管理器 (varuhphk.vadneozj.tltldo)

• MT管理器 (spvojpr.bkkhxobj.twfwf)

• 大麦 (mnamrdrefa.edldylo.zish)

• MT管理器 (io.red.studio.tracker)

Kyvykkyydet ja taloudelliset uhat

Datzbrolla on laaja valikoima vakoiluohjelmia ja talouspetosten torjuntatoimintoja, mukaan lukien:

• Äänen tallennus ja valokuvien ottaminen.
• Tiedostojen ja valokuvien käyttö.
• Peittokuvahyökkäysten, näppäinpainallusten tallentamisen ja laitteiden etähallinnan suorittaminen.
• Androidin esteettömyyspalveluiden käyttäminen automatisoitujen toimintojen suorittamiseen uhrin puolesta.

Erottuva ominaisuus on sen skemaattinen etäohjaustila, joka lähettää hyökkääjille yksityiskohtaista tietoa kaikista näytön elementeistä, niiden sijainnista ja sisällöstä. Näin he voivat kopioida käyttöliittymän ja hallita laitetta täysin etänä.

Lisäksi Datzbro voi:

• Näytä puoliläpinäkyviä peittokuvia mukautetulla tekstillä haitallisen toiminnan piilottamiseksi.
• Varasta laitteen lukitusnäytön PIN-koodit ja salasanat Alipaylle ja WeChatille.
• Skannaa pankki- tai kryptovaluuttalompakkosovellusten esteettömyystapahtumalokit ja poimi tunnistetiedot.

Nämä toiminnot korostavat haittaohjelman keskittymistä taloudelliseen hyötyyn ja muuttavat vakoiluohjelmana alkavan ohjelman hienostuneeksi uhaksi arkaluonteisten pankkitietojen varastamiseen.

Attribuutio- ja komento- ja valvontainfrastruktuuri

Analyysi viittaa siihen, että Datzbro on yhteydessä kiinankieliseen uhkaryhmään, mistä on osoituksena haittaohjelman lähdekoodin kiinankieliset virheenkorjaus- ja lokimerkkijonot. Toisin kuin monet verkkopohjaisiin C2-paneeleihin perustuvat haittaohjelmaperheet, Datzbro muodostaa yhteyden kiinankieliseen työpöytäsovellukseen komento- ja hallintatoimintoja varten.

Tämän C2-sovelluksen käännetty versio on vuodettu julkiseen virusarkistoon, mikä viittaa siihen, että haittaohjelmaa voi nyt levittää vapaasti kyberrikollisten keskuudessa, mikä lisää sen potentiaalista tavoittavuutta.

Vaikutukset mobiilitietoturvaan

Datzbron löytö havainnollistaa mobiiliuhkien kehitystä, erityisesti sellaisten, jotka hyödyntävät sosiaalista manipulointia haavoittuvien väestöryhmien kohdistamiseksi. Keskittymällä ikääntyneisiin ja hyödyntämällä näennäisen vaarattomia Facebook-tapahtumia hyökkääjät voivat laajentaa yksinkertaisen sosiaalisen vuorovaikutuksen laitteen kaappaukseksi, tunnistetietojen varastamiseksi ja talouspetokseksi.

Tämä kampanja korostaa valppauden tärkeyttä mobiililaitteiden tietoturvassa, erityisesti ikääntyneiden käyttäjien kohdalla, joihin voidaan kohdistaa hyökkäyksiä luottamukseen perustuvien sosiaalisten verkostojen kautta.