DroidBot mobil skadelig programvare

En ny og urovekkende Android-banktrussel, kjent som DroidBot, skaper bølger ved å målrette mot kryptovalutabørser og bankapper i Storbritannia, Italia, Frankrike, Spania og Portugal. Opprinnelig avdekket av cybersikkerhetsforskere i juni 2024, fungerer DroidBot som en Malware-as-a-Service (MaaS)-plattform, og tilbyr sine ondsinnede evner til tilknyttede selskaper for en heftige $3000 per måned.

Til tross for manglende banebrytende funksjoner, gjør DroidBots utbredte bruk og funksjonalitet det til en betydelig bekymring. En analyse av et av botnettene deres avslørte 776 unike infeksjoner i ulike europeiske land, inkludert Tyrkia og Tyskland. Skadevaren viser også tegn til utvidelse til nye regioner, som Latin-Amerika.

Hvordan DroidBot MaaS styrker nettkriminelle

DroidBots utviklere, som antas å være basert i Tyrkia, har laget en MaaS-plattform som senker barrierene for nettkriminelle til å utføre sofistikerte angrep. Tilknyttede selskaper får tilgang til en omfattende pakke med verktøy, inkludert:

• En malware-bygger for å tilpasse nyttelast for spesifikke mål.
• Command-and-Control (C2)-servere for å administrere operasjoner.
• Et sentralt administrasjonspanel for å hente inn høstede data og utstede kommandoer.

Forskere har identifisert 17 tilknyttede grupper ved hjelp av DroidBot, som alle opererer på delt C2-infrastruktur med unike identifikatorer for å spore aktiviteter. Tilknyttede selskaper mottar omfattende dokumentasjon, støtte og regelmessige oppdateringer via en Telegram-kanal, og skaper et system med lav innsats og høy belønning for angripere.

Stealth and Deception: DroidBot’s Disguises

For å infiltrere brukerenheter, gir DroidBot seg ofte ut som legitime apper, inkludert Google Chrome, Google Play Store eller til og med Android-sikkerhetstjenester. Når den er installert, fungerer den som en trojaner, og henter sensitiv informasjon fra målrettede applikasjoner.

Kjernefunksjonene gjør det mulig for angripere å utføre en rekke ondsinnede aktiviteter, for eksempel:

• Tastelogging : Registrerer alle tastetrykk som er lagt inn på den infiserte enheten.
• Overleggsangrep : Viser falske påloggingsskjermer over legitime app-grensesnitt for å hente inn legitimasjon.
• SMS-avskjæring : Kapring av SMS-meldinger, spesielt de som inneholder engangskoder for bankpålogging.
• Fjernkontroll av enheter : Ved å bruke en VNC-modul (Virtual Network Computing) kan tilknyttede selskaper eksternt se og kontrollere infiserte enheter, utføre kommandoer og skjule handlingene deres ved å gjøre skjermen mørkere.

Utnyttelse av tilgjengelighetstjenester

DroidBot er sterkt avhengig av Androids tilgjengelighetstjenester, en funksjon utviklet for å hjelpe brukere med funksjonshemminger med å overvåke handlinger og simulerte sveip eller trykk. Dette misbruket understreker viktigheten av å granske apper som ber om uvanlige tillatelser under installasjonen. Hvis en applikasjon ber om tilgang til tilgjengelighetstjenester uten et klart formål, bør brukere umiddelbart avslå forespørselen og avinstallere appen om nødvendig.

Høyverdimål: Bank- og kryptoapplikasjoner

DroidBots rekkevidde strekker seg til 77 høyprofilerte kryptovaluta- og bankapplikasjoner. Noen bemerkelsesverdige mål inkluderer:

• Cryptocurrency Exchanges: Binance, KuCoin og Kraken.
• Bankapplikasjoner: BBVA, Unicredit, Santander, BNP Paribas og Credit Agricole.
• Digitale lommebøker: Metamask.

Disse applikasjonene inneholder sensitive økonomiske data, noe som gjør dem til hovedmål for nettkriminelle.

Hvordan holde seg beskyttet

Å redusere trusler som DroidBot krever en proaktiv tilnærming:

• Hold deg til offisielle kilder : Last kun ned apper fra Google Play-butikken.
• Gjennomgå tillatelser : Vær på vakt mot uvanlige tillatelsesforespørsler, spesielt de som involverer tilgjengelighetstjenester.
• Aktiver Play Protect : Sørg for at denne sikkerhetsfunksjonen er aktivert på Android-enheten din.

Ved å ta i bruk denne praksisen kan brukere redusere eksponeringen for trusler som DroidBot betydelig og opprettholde kontroll over sensitive data. Ettersom DroidBot fortsetter å utvikle seg og utvide rekkevidden, er det viktig å holde seg informert og forsiktig for å forsvare seg mot den villedende taktikken.