Klopatra banki trójai

Egy korábban ismeretlen androidos banki trójai, a Klopatra több mint 3000 eszközt támadott meg, Spanyolországot és Olaszországot sújtották a leginkább. Az infosec kutatók által 2025 augusztusának végén felfedezett kifinomult rosszindulatú program a távoli hozzáférésű trójai (RAT) képességeit fejlett kijátszási technikákkal ötvözi, pénzügyi információkat céloz meg és csalárd tranzakciókat tesz lehetővé.

Kifinomult támadási technikák és távirányítás

A Klopatra a rejtett virtuális hálózati számítástechnikát (VNC) használja a fertőzött eszközök távoli vezérléséhez. Dinamikus átfedéseket használ a hitelesítő adatok ellopására és jogosulatlan tranzakciók végrehajtására. A hagyományos mobil kártevőkkel ellentétben a Klopatra integrálja a natív könyvtárakat és a kereskedelmi minőségű Virbox kódvédelmi csomagot, ami rendkívül megnehezíti az észlelést és az elemzést.

A rosszindulatú program parancsnoki és irányítási (C2) infrastruktúrájának és nyelvi nyomainak elemzése arra utal, hogy egy törökül beszélő bűnözői csoport privát botnetként üzemelteti a Klopatrát, ahelyett, hogy nyilvános, szolgáltatásként (MaaS) kínálná azt. 2025 márciusa óta a trójai vírus 40 különböző verzióját azonosították.

Hogyan csábítják be az áldozatokat

A Klopatra szociális manipuláció útján terjed, ráveszi a felhasználókat, hogy ártalmatlan eszközöknek álcázott dropper alkalmazásokat telepítsenek, például IPTV streaming alkalmazásokat. Ezek az alkalmazások kihasználják a felhasználók hajlandóságát kalózszoftverek telepítésére megbízhatatlan forrásokból.

A telepítés után a dropper engedélyt kér ismeretlen forrásból származó csomagok telepítésére. Ezután kinyeri a Klopatra fő adatcsomagját egy beágyazott JSON csomagolóból. A rosszindulatú program emellett Android akadálymentesítési szolgáltatásokat is kér, amelyek bár a fogyatékkal élő felhasználók megsegítésére szolgálnak, visszaélésszerűen felhasználhatók a következőkre:

• Képernyőtartalom olvasása
• Billentyűleütések rögzítése
• Műveletek végrehajtása önállóan

Ez lehetővé teszi a támadók számára, hogy pénzügyi csalásokat kövessenek el az áldozat tudta nélkül.

Fejlett architektúra a lopakodás és a rugalmasság érdekében

A Klopatra fejlett, strapabíró kialakításával tűnik ki:

• A Virbox integráció megvédi a rosszindulatú programokat az elemzésektől.
• Az alapfunkciók Javáról natív könyvtárakra helyeződtek át a fokozott rejtett működés érdekében.
• A kiterjedt kódösszeomlás, a hibakeresés elleni védelem és a futásidejű integritási ellenőrzések akadályozzák a felderítést.

• A kezelők valós idejű, részletes vezérlést kapnak a VNC-n keresztül, beleértve a következőket:

• Fekete képernyőátfedést jelenítsen meg a rosszindulatú tevékenységek elrejtése érdekében.

• Titokban bonyolítson le banki tranzakciókat.

• Dinamikusan küldjön hamis bejelentkezési képernyőket célzott pénzügyi és kriptovaluta alkalmazásoknak.

A rosszindulatú program letiltja az előre telepített víruskereső szoftvereket, és akadálymentesítési szolgáltatások használatával képes kiterjeszteni az engedélyeit a leállítás megakadályozása érdekében.

Csalás végrehajtása és stratégiai időzítés

Klopatra operátorai egy gondosan megtervezett támadási sorozatot követnek:

• Ellenőrizd, hogy a készülék töltődik-e, a képernyő ki van-e kapcsolva, és a készülék tétlen-e.
• Csökkentse a képernyő fényerejét nullára, és jelenítsen meg egy fekete réteget.
• Használjon lopott PIN-kódokat vagy mintákat a banki alkalmazások eléréséhez.
• Végezzen el több azonnali banki átutalást észrevétlenül.

Ez az éjszakai stratégia biztosítja, hogy az eszközök áram alatt maradjanak és felügyelet nélkül maradjanak, így a támadóknak ideális időszakot biztosítva a működésre, miközben az áldozatok alszanak.

Következmények a pénzügyi szektorra nézve

Bár a Klopatra nem találja fel újra a mobil kártevőket, a fenyegetések kifinomultságának jelentős növekedését képviseli. Kereskedelmi szintű védelem és lopakodó taktikák alkalmazásával az üzemeltetők maximalizálják mind a jövedelmezőséget, mind a működésük élettartamát.

A Google megerősítette, hogy nem találtak fertőzött alkalmazásokat a Google Playen, de a rosszindulatú program harmadik féltől származó és kalózalkalmazás-terjesztési csatornákra való támaszkodása rávilágít a mobilfelhasználókra leselkedő folyamatos kockázatra.