Octo Banking Trojan

Cybersikkerhetsforskere klarte å fange sporene etter en annen potent Android-banktrojaner. Trusselen har blitt sporet som Octo, og ifølge analysen utført av malware-forskere, er den en del av en mobil malware-familie kjent som Exobot . Mer spesifikt ser Octo ut til å være en revidert versjon av ExobotCompact-trusselen. Denne rebrandingen kan ha blitt gjort av nettkriminelle, som et forsøk på å presentere de nye variantene som helt nye truende kreasjoner og distansere dem fra det faktum at Exobots kildekode ble lekket.

Decoy-applikasjoner

Octo-trusselen ble distribuert via korrupte applikasjoner som fungerer som droppere. Noen av applikasjonene var tilgjengelig i en periode på Google Play Store, hvor de klarte å samle over 50 tusen nedlastinger. Octos operatører brukte også villedende nettsteder og landingssider som droppet applikasjonene til offerets enheter, under dekke av nettleseroppdateringer. De useriøse applikasjonene utga seg som applikasjonsinstallatører, skjermopptakere og økonomiske applikasjoner. Noen av de identifiserte applikasjonene som leverer Octo-trusselen inkluderer Pocket Screencaster (com.moh.screen), Fast Cleaner 2021 (vizeeva.fast.cleaner), Postbank Security (com.carbuildz), BAWAG PSK Security (com.frontwonder2), Play Store appinstallasjon (com.theseeye5) osv.

Truende evner

Brukere vil bli bedt om å gi Accessibility Services-tillatelser til de uredelige programmene. En annen legitim tjeneste utnyttet av Octo er Androids MediaProjection API. Den lar trusselen fange innholdet på enhetens skjerm i sanntid. I praksis betyr dette at Octo kan utføre on-device fraud (ODF) automatisk uten manuell input fra operatørene. Trusselen kan utføre overleggsangrep mot flere finans- og bankapplikasjoner for å få brukerens påloggingsinformasjon. Octo kan også etablere keylogging rutiner, høste kontaktinformasjon, få fjernkontroll over enheten og mer. Trusselen er også utstyrt med unnvikelsesteknikker for å gjøre deteksjon vanskeligere og utholdenhetsmekanismer for å sikre langvarig tilstedeværelse på de kompromitterte enhetene.