Datzbro Banking Trojan

Forskere på nettsikkerhet har nylig avdekket en tidligere udokumentert Android-banktrojaner kalt Datzbro, som er designet for å utføre DTO-angrep (Device Takeover) og gjennomføre uredelige økonomiske transaksjoner. Skadevaren retter seg primært mot eldre brukere og utnytter deres tillit gjennom sosiale medier-baserte kampanjer for sosial manipulering.

Sosial manipulering gjennom Facebook-grupper

Kampanjen ble først oppdaget i august 2025 etter rapporter fra australske brukere. Trusselaktører administrerte Facebook-grupper som promoterte «aktive seniorturer», rettet mot eldre personer interessert i sosiale aktiviteter, arrangementer og fysiske sammenkomster. Ytterligere berørte regioner inkluderer Singapore, Malaysia, Canada, Sør-Afrika og Storbritannia.

Disse Facebook-gruppene deler ofte AI-generert innhold og hevder å organisere arrangementer for eldre. Hvis et mål viser interesse, kontakter angriperne dem via Facebook Messenger eller WhatsApp og ber dem laste ned en APK-fil fra en falsk lenke (f.eks. download.seniorgroupapps.com).

De falske nettstedene markedsfører en såkalt fellesskapsapplikasjon, og hevder at den vil tillate eldre å:

• Registrer deg for arrangementer og aktiviteter.
• Ta kontakt med andre gruppemedlemmer.
• Spor kommende timeplaner.

Noen nettsteder inneholder til og med plassholderlenker for en iOS-app, noe som tyder på at angriperne tar sikte på å målrette både Android- og iOS-brukere, og distribuerer TestFlight-apper for iOS i et forsøk på å lure ofrene.

Hvordan Datzbro infiserer enheter

Når et offer laster ned Android-appen, gjør det enten:

• Installerer skadelig programvare direkte på enheten, eller
• Distribuerer en dropper laget med Zombinder, en APK-bindingstjeneste som omgår sikkerhetsbegrensninger på Android 13 og nyere.

Flere ondsinnede apper har blitt identifisert som distribuerer Datzbro, inkludert:

• Seniorgruppe (twzlibwr.rlrkvsdw.bcfwgozi)
• Livlige år (orgLivelyYears.browses646)
• ActiveSenior (com.forest481.security)
• DanceWave (inedpnok.kfxuvnie.mggfqzhl)

Evner og økonomiske trusler

Datzbro har et bredt spekter av funksjoner mot spionprogrammer og økonomisk svindel, inkludert:

• Opptak av lyd og opptak av bilder.
• Tilgang til filer og bilder.
• Utføre overlay-angrep, tastelogging og fjernkontroll av enheter.
• Bruk av Android-tilgjengelighetstjenester til å utføre automatiserte handlinger på offerets vegne.

En fremtredende funksjon er den skjematiske fjernkontrollmodusen, som sender detaljert informasjon om alle skjermelementer, deres posisjon og innhold til angriperne. Dette lar dem kopiere grensesnittet og kontrollere enheten fullstendig eksternt.

I tillegg kan Datzbro:

• Vis halvgjennomsiktige overlegg med tilpasset tekst for å skjule ondsinnet aktivitet.
• Stjel PIN-koder og passord for låseskjermen på enheter for Alipay og WeChat.
• Skann tilgjengelighetshendelseslogger for bank- eller kryptovaluta-lommebøker og hent ut legitimasjon.

Disse funksjonene fremhever skadevarens fokus på økonomisk vinning, og gjør det som begynner som spionprogrammer til en sofistikert trussel for å stjele sensitiv bankinformasjon.

Attribusjons- og kommando- og kontrollinfrastruktur

Analyser tyder på at Datzbro er knyttet til en kinesisktalende trusselgruppe, noe som fremgår av kinesiske feilsøkings- og loggføringsstrenger i kildekoden til skadevaren. I motsetning til mange skadevarefamilier som er avhengige av nettbaserte C2-paneler, kobler Datzbro seg til et kinesiskspråklig skrivebordsprogram for kommando- og kontrolloperasjoner.

En kompilert versjon av denne C2-appen har blitt lekket til et offentlig virusarkiv, noe som indikerer at skadevaren nå kan distribueres fritt blant nettkriminelle, noe som øker dens potensielle rekkevidde.

Implikasjoner for mobilsikkerhet

Oppdagelsen av Datzbro illustrerer utviklingen av mobile trusler, spesielt de som utnytter sosial manipulering for å målrette sårbare befolkningsgrupper. Ved å fokusere på eldre og utnytte tilsynelatende godartede Facebook-hendelser, kan angripere eskalere en enkel sosial interaksjon til enhetsovertakelse, tyveri av legitimasjon og økonomisk svindel.

Denne kampanjen fremhever viktigheten av årvåkenhet innen mobilsikkerhet, spesielt for eldre brukere som kan bli målrettet via tillitsbaserte sosiale nettverk.