Hydra Android-trojan
De Hydra Android Trojan wordt al een tijdje gebruikt in actieve aanvalscampagnes, aangezien de eerste voorbeelden van deze dreiging in 2019 werden ontdekt. Sindsdien heeft de dreiging meerdere versies doorgemaakt en zijn bedreigende mogelijkheden verschillende keren uitgebreid. Het hoofddoel van de Hydra Android Trojan is echter hetzelfde gebleven: het verzamelen van de inloggegevens van het slachtoffer voor bank- of financieringsdiensten.
De nieuwste campagne waarbij de Hydra Android Trojan werd ingezet, werd ontdekt door de cyberbeveiligingsonderzoekers van MalwareHunterTeam en Cyble. De dreigende operatie is gericht op Europese e-bankingplatforms en meer specifiek op de klanten van Commerzbank, de op een na grootste bank van Duitsland.
Schadelijke functies
De dreiging wordt geleverd via een lokwebsite die Trojanized Commerzbank-applicaties verspreidt. Eenmaal geïmplementeerd op het apparaat van het slachtoffer, vraagt de Hydra Android Trojan om verschillende kritieke machtigingen. Ten eerste wil het toegang tot de toegankelijkheidsservice van Android. Dit is een legitieme achtergrondservice die is geïmplementeerd om mensen met een handicap te helpen hun Android-apparaten op een comfortabelere manier te bedienen. De dreiging maakt echter misbruik van de service om alle activiteiten op het scherm van het apparaat te controleren en te onderscheppen. Hierdoor kunnen ze de inloggegevens zien die door het slachtoffer zijn ingevoerd in andere applicaties.
De tweede toestemming die door de dreiging wordt gevraagd, is BIND_DEVICE_ADMIN. Het verleent de Hydra-beheerdersrechten en stelt het in staat om tal van invasieve activiteiten uit te voeren, zoals het apparaat vergrendelen, de pincode voor schermvergrendeling wijzigen en meer. De malware kan aanvullende acties uitvoeren, waaronder toegang krijgen tot of sms-berichten verzenden, bellen, berichten verzenden naar de contactenlijst van het slachtoffer, enz.
De nieuwste versie van de Hydra Android Trojan is ook uitgerust met de TeamViewer-functionaliteit, op dezelfde manier als de S.O.V.A. Android banking Trojan. Bovendien heeft het de detectie-vermijding vergroot door gebruik te maken van verschillende versleutelingstechnieken en TOR voor communicatie.
