Datzbro banki trójai

Kiberbiztonsági kutatók nemrégiben lelepleztek egy korábban nem dokumentált, Datzbro nevű Android banki trójai vírust, amelyet eszközátvételi (DTO) támadások végrehajtására és csalárd pénzügyi tranzakciók lebonyolítására terveztek. A rosszindulatú program elsősorban az idősebb felhasználókat célozza meg, és közösségi médián alapuló pszichológiai manipulációs kampányokon keresztül használja ki bizalmukat.

Szociális manipuláció Facebook csoportokon keresztül

A kampányt először 2025 augusztusában észlelték ausztrál felhasználók bejelentései alapján. A kiberbűnözők „aktív idősek utazásait” népszerűsítő Facebook-csoportokat kezeltek, amelyek olyan időseket céloztak meg, akik társasági tevékenységek, események és személyes összejövetelek iránt érdeklődtek. További érintett régiók közé tartozik Szingapúr, Malajzia, Kanada, Dél-Afrika és az Egyesült Királyság.

Ezek a Facebook-csoportok gyakran osztanak meg mesterséges intelligencia által generált tartalmakat, azt állítva, hogy időseknek szóló eseményeket szerveznek. Ha egy célpont érdeklődést mutat, a támadók a Facebook Messengeren vagy a WhatsAppon keresztül keresik meg, és arra kérik őket, hogy töltsenek le egy APK fájlt egy csalárd linkről (pl. download.seniorgroupapps.com).

A hamis weboldalak egy úgynevezett közösségi alkalmazást népszerűsítenek, azt állítva, hogy az lehetővé teszi az idősek számára, hogy:

• Regisztrálj eseményekre és tevékenységekre.
• Kapcsolatfelvétel a csoport többi tagjával.
• Kövesse nyomon a közelgő ütemterveket.

Néhány oldal iOS-alkalmazásokra mutató helyőrző linkeket is tartalmaz, ami arra utal, hogy a támadók célja mind az Android-, mind az iOS-felhasználók megcélzása, a TestFlight iOS-alkalmazások terjesztésével, hogy megtévesszék az áldozatokat.

Hogyan fertőzi meg a Datzbro az eszközöket?

Amikor egy áldozat letölti az Android alkalmazást, akkor a következőket teszi:

• Közvetlenül az eszközre telepíti a rosszindulatú programot, vagy
• Egy, a Zombinderrel létrehozott droppert helyez üzembe, amely egy APK-kötési szolgáltatás, és megkerüli a biztonsági korlátozásokat Android 13-as és újabb rendszereken.

Számos rosszindulatú alkalmazást azonosítottak, amelyek a Datzbrót terjesztik, beleértve a következőket:

• Idősebb Csoport (twzlibwr.rlrkvsdw.bcfwgozi)
• Élénk Évek (orgÉlénk Évek.browses646)
• ActiveSenior (com.forest481.security)
• DanceWave (inedpnok.kfxuvnie.mggfqzhl)
• 作业帮 (io.mobile.Itool)

• 麻豆传媒 (fsxhibqhbh.hlyzqkd.aois)

• 麻豆传媒 (mobi.audio.aassistant)

• 谷歌浏览器 (tvmhnrvsp.zltixkpp.mdok)

• MT管理器 (varuhphk.vadneozj.tltldo)

• MT管理器 (spvojpr.bkkhxobj.twfwf)

• 大麦 (mnamrdrefa.edldylo.zish)

• MT管理器 (io.red.studio.tracker)

Képességek és pénzügyi fenyegetések

A Datzbro számos kémprogram- és pénzügyi csalás elleni funkcióval rendelkezik, beleértve:

• Hangfelvétel és fényképek készítése.
• Fájlok és fényképek elérése.
• Átfedési támadások, billentyűnaplózás és távoli eszközvezérlés végrehajtása.
• Android akadálymentesítési szolgáltatások használata automatizált műveletek végrehajtására az áldozat nevében.

Kiemelkedő funkciója a sematikus távvezérlési mód, amely részletes információkat küld a képernyő összes eleméről, azok helyzetéről és tartalmáról a támadóknak. Ez lehetővé teszi számukra a felület replikálását és az eszköz teljes körű távoli vezérlését.

Ezenkívül a Datzbro a következőket is képes biztosítani:

• Félig átlátszó rétegek megjelenítése egyéni szöveggel a rosszindulatú tevékenységek elrejtéséhez.
• Lopja el az eszközzárolási képernyő PIN-kódjait és jelszavait az Alipay és a WeChat szolgáltatáshoz.
• Akadálymentesítési eseménynaplók beolvasása banki vagy kriptovaluta-tárcaalkalmazásokhoz, és hitelesítő adatok kinyerése.

Ezek a funkciók rávilágítanak a rosszindulatú program pénzügyi haszonszerzésre való összpontosítására, ami egy kémprogramként induló dolgot egy kifinomult fenyegetéssé alakít, amely bizalmas banki információkat lop el.

Hozzárendelési és parancsnoki-irányítási infrastruktúra

Az elemzések arra utalnak, hogy a Datzbro egy kínaiul beszélő fenyegető csoporthoz kapcsolódik, amint azt a kártevő forráskódjában található kínai hibakeresési és naplózási karakterláncok is bizonyítják. Sok olyan kártevőcsaláddal ellentétben, amelyek web alapú C2 panelekre támaszkodnak, a Datzbro egy kínai nyelvű asztali alkalmazáshoz csatlakozik a parancs- és vezérlési műveletekhez.

Ennek a C2 alkalmazásnak a lefordított verziója kiszivárgott egy nyilvános vírustárba, ami arra utal, hogy a rosszindulatú program mostantól szabadon terjeszthető a kiberbűnözők között, növelve ezzel a potenciális elérhetőségét.

Következmények a mobil biztonságra

A Datzbro felfedezése jól mutatja a mobilfenyegetések fejlődését, különösen azokat, amelyek a társadalmi manipulációt használják ki a sebezhető lakossági csoportok megcélzására. Az idősekre összpontosítva és a látszólag ártalmatlan Facebook-eseményeket kihasználva a támadók egy egyszerű közösségi interakciót eszközelvétellé, hitelesítő adatok ellopásává és pénzügyi csalássá eszkalálhatnak.

Ez a kampány kiemeli az éberség fontosságát a mobilbiztonság terén, különösen az idősebb felhasználók esetében, akiket bizalmon alapuló közösségi hálózatokon keresztül célozhatnak meg.