Trojanul bancar Datzbro

Cercetătorii în domeniul securității cibernetice au descoperit recent un troian bancar Android nedocumentat anterior, numit Datzbro, conceput pentru a efectua atacuri de tip „device takeover” (DTO) și pentru a efectua tranzacții financiare frauduloase. Malware-ul vizează în principal utilizatorii vârstnici, exploatând încrederea acestora prin intermediul unor campanii de inginerie socială bazate pe rețelele sociale.

Inginerie socială prin grupuri de Facebook

Campania a fost detectată pentru prima dată în august 2025, în urma unor raportări ale unor utilizatori australieni. Actorii care au gestionat grupuri de Facebook care promovau „excursii active pentru seniori”, vizând persoane în vârstă interesate de activități sociale, evenimente și întâlniri față în față. Alte regiuni afectate includ Singapore, Malaezia, Canada, Africa de Sud și Regatul Unit.

Aceste grupuri de Facebook distribuie frecvent conținut generat de inteligența artificială, pretinzând că organizează evenimente pentru seniori. Dacă o țintă își exprimă interesul, atacatorii o abordează prin Facebook Messenger sau WhatsApp, îndemnându-o să descarce un fișier APK de pe un link fraudulos (de exemplu, download.seniorgroupapps.com).

Site-urile web false promovează o așa-numită aplicație comunitară, susținând că aceasta le-ar permite seniorilor să:

• Înscrie-te pentru evenimente și activități.
• Conectează-te cu alți membri ai grupului.
• Urmărește programele viitoare.

Unele site-uri conțin chiar linkuri temporare pentru o aplicație iOS, ceea ce sugerează că atacatorii urmăresc să vizeze atât utilizatorii de Android, cât și cei de iOS, distribuind aplicații TestFlight pentru iOS în încercarea de a păcăli victimele.

Cum infectează Datzbro dispozitivele

Când o victimă descarcă aplicația Android, aceasta fie:

• Instalează malware-ul direct pe dispozitiv sau
• Implementează un dropper creat cu Zombinder, un serviciu de legare APK care ocolește restricțiile de securitate pe Android 13 și versiunile ulterioare.

Au fost identificate mai multe aplicații rău intenționate care distribuie Datzbro, inclusiv:

• Grupul Seniorilor (twzlibwr.rlrkvsdw.bcfwgozi)
• Ani plini de viață (orgLivelyYears.browses646)
• ActiveSenior (com.forest481.security)
• DanceWave (inedpnok.kfxuvnie.mggfqzhl)
• 作业帮 (io.mobile.Itool)

• 麻豆传媒 (fsxhibqhbh.hlyzqkd.aois)

• 麻豆传媒 (mobi.audio.aassistant)

• 谷歌浏览器 (tvmhnrvsp.zltixkpp.mdok)

• MT管理器 (varuhphk.vadneozj.tltldo)

• MT管理器 (spvojpr.bkkhxobj.twfwf)

• 大麦 (mnamrdrefa.edldylo.zish)

• MT管理器 (io.red.studio.tracker)

Capacități și amenințări financiare

Datzbro posedă o gamă largă de funcționalități de tip spyware și fraudă financiară, inclusiv:

• Înregistrarea audio și realizarea de fotografii.
• Accesarea fișierelor și fotografiilor.
• Efectuarea de atacuri overlay, keylogging și controlul dispozitivelor de la distanță.
• Utilizarea serviciilor de accesibilitate Android pentru a efectua acțiuni automate în numele victimei.

O caracteristică remarcabilă este modul schematic de control de la distanță, care trimite atacatorilor informații detaliate despre toate elementele ecranului, poziția și conținutul acestora. Acest lucru le permite să reproducă interfața și să controleze complet dispozitivul de la distanță.

În plus, Datzbro poate:

• Afișați suprapuneri semitransparente cu text personalizat pentru a ascunde activitatea rău intenționată.
• Fură codurile PIN și parolele de pe ecranul de blocare al dispozitivului pentru Alipay și WeChat.
• Scanați jurnalele de evenimente de accesibilitate pentru aplicații bancare sau portofele de criptomonede și extrageți acreditările.

Aceste funcții evidențiază concentrarea malware-ului pe câștiguri financiare, transformând ceea ce începe ca un program spion într-o amenințare sofisticată pentru furtul de informații bancare sensibile.

Infrastructură de atribuire și comandă și control

Analizele sugerează că Datzbro este legat de un grup de amenințări vorbitor de chineză, după cum reiese din șirurile de depanare și înregistrare în jurnal în limba chineză din codul sursă al malware-ului. Spre deosebire de multe familii de malware care se bazează pe panouri C2 bazate pe web, Datzbro se conectează la o aplicație desktop în limba chineză pentru operațiuni de comandă și control.

O versiune compilată a acestei aplicații C2 a fost divulgată într-un depozit public de viruși, ceea ce indică faptul că malware-ul ar putea fi acum distribuit liber printre infractorii cibernetici, crescând astfel potențiala sa acoperire.

Implicații pentru securitatea mobilă

Descoperirea Datzbro ilustrează evoluția amenințărilor mobile, în special a celor care exploatează ingineria socială pentru a viza populațiile vulnerabile. Concentrându-se pe seniori și profitând de evenimente Facebook aparent benigne, atacatorii pot escalada o simplă interacțiune socială în preluarea controlului asupra dispozitivelor, furtul de acreditări și fraudă financiară.

Această campanie subliniază importanța vigilenței în securitatea mobilă, în special pentru utilizatorii vârstnici care pot fi vizați prin intermediul rețelelor sociale bazate pe încredere.