Crocodilus Banking Trojan

Eksperter på nettsikkerhet har avdekket en ny Android-bankprogramvare kalt Crocodilus, som først og fremst retter seg mot brukere i Spania og Tyrkia. I motsetning til mange nye trusler som starter som rudimentære versjoner av eksisterende skadelig programvare, går Crocodilus inn i nettkriminalitetslandskapet som en fullt utviklet, sofistikert banktrojaner.

Avanserte teknikker for maksimal skade

Crocodilus bruker moderne teknikker som:

• Fjernkontrollfunksjoner
• Svart skjermoverlegg for å skjule tilstedeværelsen
• Avansert datainnsamling gjennom tilgjengelighetslogging

Som andre banktrojanere, har den som mål å overta en enhet (DTO) og la nettkriminelle utføre uredelige transaksjoner. En dypere analyse av kildekoden og feilsøkingsmeldingene tyder på at skadevareforfatteren er tyrkisktalende.

Forkledd som Google Chrome for å unngå deteksjon

Crocodilus er designet for å omgå sikkerhetsrestriksjoner for Android 13+ ved å maskere seg som Google Chrome (pakkenavn: 'quizzical.washbowl.calamity'). Når den er installert, ber den falske applikasjonen om tillatelser for tilgjengelighetstjenester, som gir den full kontroll over enheten.

Ved aktivering kobles den til en ekstern Command-and-Control-server (C2) for å:

• Motta ytterligere instruksjoner
• Hent listen over målrettede økonomiske applikasjoner
• Distribuer HTML-overlegg for å stjele brukerlegitimasjon

Cryptocurrency lommebøker i trådkorset

Crocodilus stopper ikke bare ved bankapplikasjoner – den retter seg også mot kryptovaluta-lommebøker. I stedet for å bruke en falsk påloggingsside, lurer den ofrene med et uredelig sikkerhetskopieringsvarsel, og advarer dem om å lagre frøfrasen innen 12 timer eller risikere å miste eiendelene sine.

Denne sosiale ingeniørtaktikken manipulerer ofre til å navigere til frøfrasene deres, som deretter høstes via misbruk av tilgjengelighetstjenester. Med denne informasjonen kan angriperne ta kontroll over lommeboken og tappe pengene.

Kontinuerlig overvåking og legitimasjonstyveri

Crocodilus er designet for å kjøre vedvarende i bakgrunnen, følge nøye med på applikasjonsstarter og utløse overlegg for å avskjære legitimasjon. Det kan:

• Overvåk alle tilgjengelighetshendelser
• Fang alle elementene som vises på skjermen
• Ta skjermbilder av Google Authenticator for å omgå tofaktorautentisering

Ved å gjøre det sikrer Crocodilus at operatørene ikke merker noen påloggingsaktivitet.

Stealth Mode: Skjuler skadelige aktiviteter

For å forbli uoppdaget, bruker Crocodilus forskjellige stealth-taktikker, inkludert:

• Viser et svart skjermoverlegg for å skjule uautoriserte aktiviteter
• Dempe lyder for å hindre ofre i å høre mistenkelige varsler

Disse tiltakene gjør det mye vanskeligere for ofre å innse at enhetene deres har blitt kompromittert.

Et kraftig arsenal av skadelige funksjoner

Crocodilus er designet med en rekke truende egenskaper som lar den ta fullstendig kontroll over en infisert enhet. Den kan starte spesifikke applikasjoner, fjerne seg selv fra enheten for å unngå oppdagelse og sende push-varsler for å manipulere brukeratferd. Skadevaren har også muligheten til å sende SMS-meldinger til utvalgte eller alle kontakter, hente kontaktlister og hente en liste over installerte applikasjoner, noe som gir angripere en omfattende oversikt over offerets digitale fotavtrykk.

I tillegg kan Crocodilus lese SMS-meldinger, be om enhetsadministratorrettigheter for å få mer dyp kontroll og aktivere en svart overleggsmodus for å skjule dens utrygge aktiviteter. Den oppdaterer regelmessig sine Command-and-Control-serverinnstillinger (C2), og sikrer at den kan tilpasse seg og svare på nye instruksjoner fra operatørene. For å fremme stealth-operasjonene, kan den aktivere eller deaktivere lyd, veksle tastelogging for å fange opp brukerinndata, og til og med gjøre seg selv til standard SMS-behandler, slik at den kan avskjære og manipulere kommunikasjon uoppdaget.

Crocodilus: A New Mobile Banking Threat

Fremveksten av Crocodilus markerer en usikker eskalering i sofistikering av skadelig programvare for mobilbanktjenester. I motsetning til mange nyoppdagede trusler, er Crocodilus moden fra begynnelsen, og utnytter avanserte Device-Takeover-teknikker, fjernkontrollfunksjoner og svarte overleggsangrep for å kompromittere brukere.

Med sin snikende utførelse og robuste sett med funksjoner, setter denne skadevaren en ny presedens for Android-banktrusler, og beviser at nettkriminelle stadig forbedrer taktikken for å ligge i forkant av sikkerhetstiltakene.