Trojan bancario Datzbro

I ricercatori di sicurezza informatica hanno recentemente scoperto un trojan bancario per Android precedentemente non documentato, chiamato Datzbro, progettato per eseguire attacchi di acquisizione del dispositivo (DTO) e condurre transazioni finanziarie fraudolente. Il malware prende di mira principalmente gli utenti anziani, sfruttando la loro fiducia attraverso campagne di ingegneria sociale basate sui social media.

Ingegneria sociale attraverso i gruppi di Facebook

La campagna è stata rilevata per la prima volta nell'agosto 2025, in seguito alle segnalazioni di utenti australiani. Gli autori della minaccia gestivano gruppi Facebook che promuovevano "viaggi per anziani attivi", prendendo di mira persone anziane interessate ad attività sociali, eventi e incontri di persona. Tra le altre regioni interessate figurano Singapore, Malesia, Canada, Sudafrica e Regno Unito.

Questi gruppi Facebook condividono spesso contenuti generati dall'intelligenza artificiale, sostenendo di organizzare eventi per anziani. Se un bersaglio esprime interesse, gli aggressori lo contattano tramite Facebook Messenger o WhatsApp, invitandolo a scaricare un file APK da un link fraudolento (ad esempio, download.seniorgroupapps.com).

I siti web falsi promuovono una cosiddetta applicazione comunitaria, sostenendo che consentirebbe agli anziani di:

• Iscriviti agli eventi e alle attività.
• Connettiti con gli altri membri del gruppo.
• Tieni traccia dei prossimi programmi.

Alcuni siti contengono addirittura link segnaposto per un'app iOS, il che suggerisce che gli aggressori mirano a colpire sia gli utenti Android che iOS, distribuendo app TestFlight per iOS nel tentativo di ingannare le vittime.

Come Datzbro infetta i dispositivi

Quando una vittima scarica l'app per Android, questa:

• Installa il malware direttamente sul dispositivo, oppure
• Distribuisce un dropper creato con Zombinder, un servizio di associazione APK che aggira le restrizioni di sicurezza su Android 13 e versioni successive.

Sono state identificate diverse app dannose che distribuiscono Datzbro, tra cui:

• Gruppo Senior (twzlibwr.rlrkvsdw.bcfwgozi)
• Anni vivaci (orgLivelyYears.browses646)
• ActiveSenior (com.forest481.security)
• DanceWave (inedpnok.kfxuvnie.mggfqzhl)
• Nome (io.mobile.Itool)

• 麻豆传媒 (fsxhibqhbh.hlyzqkd.aois)

• 麻豆传媒 (mobi.audio.aassistant)

• 谷歌浏览器 (tvmhnrvsp.zltixkpp.mdok)

• MT管理器 (varuhphk.vadneozj.tltldo)

• MT管理器 (spvojpr.bkkhxobj.twfwf)

• 大麦 (mnamrdrefa.edldylo.zish)

• MT管理器 (io.red.studio.tracker)

Capacità e minacce finanziarie

Datzbro possiede una vasta gamma di funzionalità anti-spyware e anti-frode finanziaria, tra cui:

• Registrazione audio e acquisizione foto.
• Accesso a file e foto.
• Esecuzione di attacchi overlay, keylogging e controllo remoto dei dispositivi.
• Utilizzo dei servizi di accessibilità Android per eseguire azioni automatizzate per conto della vittima.

Una caratteristica distintiva è la modalità di controllo remoto schematico, che invia agli aggressori informazioni dettagliate su tutti gli elementi dello schermo, la loro posizione e il contenuto. Ciò consente loro di replicare l'interfaccia e controllare completamente il dispositivo da remoto.

Inoltre, Datzbro può:

• Visualizza sovrapposizioni semitrasparenti con testo personalizzato per nascondere attività dannose.
• Ruba i PIN e le password della schermata di blocco del dispositivo per Alipay e WeChat.
• Analizza i registri degli eventi di accessibilità per app bancarie o wallet di criptovalute ed estrai le credenziali.

Queste funzioni evidenziano l'attenzione del malware rivolta al guadagno finanziario, trasformando quello che inizia come uno spyware in una minaccia sofisticata per il furto di informazioni bancarie sensibili.

Infrastruttura di attribuzione e comando e controllo

L'analisi suggerisce che Datzbro sia collegato a un gruppo di minacce di lingua cinese, come evidenziato dalle stringhe di debug e log in cinese presenti nel codice sorgente del malware. A differenza di molte famiglie di malware che si basano su pannelli C2 basati sul web, Datzbro si connette a un'applicazione desktop in lingua cinese per operazioni di comando e controllo.

Una versione compilata di questa app C2 è trapelata in un repository pubblico di virus, il che indica che il malware potrebbe ora essere distribuito liberamente tra i criminali informatici, aumentandone la potenziale portata.

Implicazioni per la sicurezza mobile

La scoperta di Datzbro illustra l'evoluzione delle minacce mobile, in particolare quelle che sfruttano l'ingegneria sociale per colpire le fasce più vulnerabili della popolazione. Concentrandosi sugli anziani e sfruttando eventi Facebook apparentemente innocui, gli aggressori possono trasformare una semplice interazione sociale in furto di dispositivi, furto di credenziali e frode finanziaria.

Questa campagna sottolinea l'importanza della vigilanza nella sicurezza dei dispositivi mobili, in particolare per gli utenti anziani che potrebbero essere presi di mira tramite i social network basati sulla fiducia.