Klopatra Banking Trojan
טרויאן בנקאות אנדרואיד, Klopatra, שלא היה מוכר בעבר, פרץ ליותר מ-3,000 מכשירים, כאשר ספרד ואיטליה הן הנפגעות ביותר. הקוד הזדוני המתוחכם הזה, שהתגלה בסוף אוגוסט 2025 על ידי חוקרי אבטחת מידע, משלב יכולות טרויאן גישה מרחוק (RAT) עם טכניקות התחמקות מתקדמות, ממקד מידע פיננסי ומאפשר עסקאות הונאה.
תוכן העניינים
טכניקות תקיפה מתוחכמות ושלט רחוק
קלופטרה ממנפת את תוכנת VNC (Hidden Virtual Network Computing) כדי להשיג שליטה מרחוק על מכשירים נגועים. היא משתמשת בשכבות-על דינמיות כדי לגנוב אישורים ולבצע עסקאות לא מורשות. בניגוד לתוכנות זדוניות קונבנציונליות למכשירים ניידים, קלופטרה משלבת ספריות מקוריות וחבילת הגנת הקוד Virbox ברמה מסחרית, מה שמקשה ביותר על הזיהוי והניתוח.
ניתוח תשתית הפיקוד והשליטה (C2) של הנוזקה ורמזים לשוניים מצביעים על כך שקבוצת פשע דוברת טורקית מפעילה את קלופטרה כרשת בוטנט פרטית, במקום להציע אותה כשירות נוזקה ציבורית (MaaS). מאז מרץ 2025 זוהו 40 גרסאות שונות של הטרויאן.
כיצד מפתים קורבנות פנימה
קלופטרה מתפשטת באמצעות טקטיקות של הנדסה חברתית, ומטעה משתמשים להתקין אפליקציות סטרימינג (dropper) שמתחזות לכלים לא מזיקים, כגון אפליקציות סטרימינג IPTV. אפליקציות אלו מנצלות את נכונותם של המשתמשים להתקין תוכנה פיראטית ממקורות לא מהימנים.
לאחר ההתקנה, התוכנה הזדונית מבקשת הרשאות להתקנת חבילות ממקורות לא ידועים. לאחר מכן היא מחלצת את המטען הראשי של Klopatra מ-JSON Packer מוטמע. בנוסף, התוכנה הזדונית מבקשת שירותי נגישות לאנדרואיד, אשר, למרות שנועדו לסייע למשתמשים עם מוגבלויות, ניתנים לניצול לרעה כדי:
- קריאת תוכן המסך
- הקלטת הקשות מקלדת
- לבצע פעולות באופן אוטונומי
זה מאפשר לתוקפים לבצע הונאה פיננסית ללא ידיעת הקורבן.
ארכיטקטורה מתקדמת לחמקנות ועמידות
קלופטרה בולטת בזכות עיצובה המתקדם והעמיד:
- שילוב Virbox מגן על תוכנות זדוניות מפני ניתוח.
- פונקציות ליבה עברו מג'אווה לספריות מקוריות להגברת החמקנות.
- בדיקות נרחבות של ערפול קוד, אנטי-באגים ובדיקות שלמות בזמן ריצה מעכבות את הזיהוי.
- מפעילים מקבלים שליטה מפורטת בזמן אמת באמצעות VNC, כולל היכולת:
- הגש שכבת-על של מסך שחור כדי להסתיר פעילות זדונית.
- לבצע פעולות בנקאיות בסתר.
- ספקו באופן דינמי מסכי כניסה מזויפים לאפליקציות פיננסיות וקריפטוגרפיות ממוקדות.
התוכנה הזדונית גם משביתה תוכנת אנטי-וירוס המותקנת מראש ויכולה להגביר את ההרשאות שלה באמצעות שירותי נגישות כדי למנוע סגירה.
ביצוע הונאות ותזמון אסטרטגי
מפעילי קלופטרה עוקבים אחר רצף תקיפה מתוכנן בקפידה:
- בדוק אם המכשיר נטען, שהמסך כבוי והמכשיר במצב סרק.
- הפחת את בהירות המסך לאפס והצג שכבת-על שחורה.
- השתמשו בקודים או תבניות גנובות כדי לגשת לאפליקציות בנקאיות.
- בצע מספר העברות בנקאיות מיידיות מבלי שיזוהו.
אסטרטגיה לילית זו מבטיחה שהמכשירים יישארו מופעלים וללא השגחה, ומעניקה לתוקפים חלון זמן אידיאלי לפעולה בזמן שהקורבנות ישנים.
השלכות על המגזר הפיננסי
בעוד שקלופטרה לא ממציאה מחדש תוכנות זדוניות ניידות, היא מייצגת הסלמה משמעותית בתחכום האיומים. על ידי אימוץ הגנות ברמה מסחרית וטקטיקות התגנבות, המפעילים ממקסמים הן את הרווחיות והן את תוחלת החיים של פעילותם.
גוגל אישרה כי לא נמצאו אפליקציות נגועות ב-Google Play, אך ההסתמכות של הנוזקה על ערוצי הפצה של אפליקציות של צד שלישי ואפליקציות פיראטיות מדגישה את הסיכון המתמשך למשתמשי מובייל.
