Crocodilus Banking Trojan

Cybersäkerhetsexperter har upptäckt en ny skadlig programvara för Android-banker som heter Crocodilus, som främst riktar sig till användare i Spanien och Turkiet. Till skillnad från många nya hot som börjar som rudimentära versioner av befintlig skadlig programvara, går Crocodilus in i cyberbrottslandskapet som en fullt utvecklad, sofistikerad banktrojan.

Avancerade tekniker för maximal skada

Crocodilus använder moderna tekniker som:

• Fjärrkontrollfunktioner
• Svarta skärmöverlägg för att dölja dess närvaro
• Avancerad datainsamling genom tillgänglighetsloggning

Liksom andra banktrojaner syftar den till att ta över en enhet (DTO) och tillåta cyberbrottslingar att utföra bedrägliga transaktioner. En djupare analys av dess källkod och felsökningsmeddelanden tyder på att skadlig programvara är turkisktalande.

Förklädd som Google Chrome för att undvika upptäckt

Crocodilus är utformad för att kringgå säkerhetsbegränsningar för Android 13+ genom att maskera sig som Google Chrome (paketnamn: 'quizzical.washbowl.calamity'). När den har installerats begär den falska applikationen åtkomsttjänstbehörigheter, vilket ger den fullständig kontroll över enheten.

Vid aktivering ansluts den till en fjärrstyrd Command-and-Control-server (C2) för att:

• Ta emot ytterligare instruktioner
• Hämta listan över riktade finansiella applikationer
• Distribuera HTML-överlägg för att stjäla användaruppgifter

Kryptovaluta plånböcker i hårkorset

Crocodilus stannar inte bara vid bankapplikationer – den riktar sig också mot kryptovaluta plånböcker. Istället för att använda en falsk inloggningssida, lurar den offren med en bedräglig backup-varning, varnar dem att spara sin fröfras inom 12 timmar eller riskera att förlora sina tillgångar.

Denna sociala ingenjörstaktik manipulerar offer till att navigera till sina frönsfraser, som sedan skördas via missbruk av tillgänglighetstjänster. Med denna information kan angriparna ta kontroll över plånboken och tömma dess pengar.

Kontinuerlig övervakning och identitetsstöld

Crocodilus är utformad för att köras ihärdigt i bakgrunden, hålla noggrann koll på programstarter och utlösa överlagringar för att fånga upp autentiseringsuppgifter. Det kan:

• Övervaka alla tillgänglighetshändelser
• Fånga alla element som visas på skärmen
• Ta skärmdumpar av Google Authenticator för att kringgå tvåfaktorsautentisering

Genom att göra det säkerställer Crocodilus att dess operatörer inte märker någon inloggningsaktivitet.

Stealth Mode: Döljer skadliga aktiviteter

För att förbli oupptäckt använder Crocodilus olika smygtaktik, inklusive:

• Visar en svart skärmöverlagring för att dölja obehöriga aktiviteter
• Stänga av ljud för att förhindra att offer hör misstänkta varningar

Dessa åtgärder gör det mycket svårare för offren att inse att deras enheter har äventyrats.

Ett kraftfullt arsenal av skadliga funktioner

Crocodilus är designad med en rad hotfulla funktioner som gör att den kan ta fullständig kontroll över en infekterad enhet. Den kan starta specifika applikationer, ta bort sig själv från enheten för att undvika upptäckt och skicka push-meddelanden för att manipulera användarbeteende. Skadlig programvara har också förmågan att skicka SMS-meddelanden till utvalda eller alla kontakter, hämta kontaktlistor och hämta en lista över installerade applikationer, vilket ger angriparna en heltäckande bild av offrets digitala fotavtryck.

Dessutom kan Crocodilus läsa SMS-meddelanden, begära enhetsadministratörsprivilegier för att få djupare kontroll och aktivera ett svart överlagringsläge för att dölja dess osäkra aktiviteter. Den uppdaterar regelbundet sina Command-and-Control-serverinställningar (C2), vilket säkerställer att den kan anpassa sig och svara på nya instruktioner från sina operatörer. För att främja sina smygoperationer kan den aktivera eller inaktivera ljud, växla tangentloggning för att fånga användarinmatningar och till och med göra sig själv till standard SMS-hanterare, vilket gör att den kan avlyssna och manipulera kommunikation oupptäckt.

Crocodilus: A New Mobile Banking Threat

Uppkomsten av Crocodilus markerar en osäker eskalering av sofistikering av skadlig programvara för mobilbanker. Till skillnad från många nyupptäckta hot är Crocodilus mogen redan från början och utnyttjar avancerade tekniker för övertagande av enheter, fjärrkontrollfunktioner och svarta överlagringsattacker för att äventyra användarna.

Med sin smygande utförande och robusta uppsättning funktioner sätter denna skadliga programvara ett nytt prejudikat för Android-bankhot, vilket bevisar att cyberbrottslingar ständigt förbättrar sin taktik för att ligga steget före säkerhetsåtgärderna.