Datzbro Banking Trojan

Cybersäkerhetsforskare har nyligen upptäckt en tidigare odokumenterad Android-banktrojan vid namn Datzbro, utformad för att utföra DTO-attacker (Device Takeover) och genomföra bedrägliga finansiella transaktioner. Skadlig programvara riktar sig främst mot äldre användare och utnyttjar deras förtroende genom sociala medier-baserade social engineering-kampanjer.

Social ingenjörskonst genom Facebookgrupper

Kampanjen upptäcktes först i augusti 2025 efter rapporter från australiska användare. Hotaktörer hanterade Facebookgrupper som marknadsförde "aktiva seniorresor", riktade mot äldre personer intresserade av sociala aktiviteter, evenemang och personliga sammankomster. Ytterligare drabbade regioner inkluderar Singapore, Malaysia, Kanada, Sydafrika och Storbritannien.

Dessa Facebookgrupper delar ofta AI-genererat innehåll och påstår sig organisera evenemang för seniorer. Om ett mål uttrycker intresse kontaktar angriparna dem via Facebook Messenger eller WhatsApp och uppmanar dem att ladda ner en APK-fil från en bedräglig länk (t.ex. download.seniorgroupapps.com).

De falska webbplatserna marknadsför en så kallad community-applikation och påstår att den skulle göra det möjligt för seniorer att:

• Registrera dig för evenemang och aktiviteter.
• Få kontakt med andra gruppmedlemmar.
• Spåra kommande scheman.

Vissa webbplatser innehåller till och med platshållarlänkar för en iOS-app, vilket tyder på att angriparna siktar på att rikta in sig på både Android- och iOS-användare och distribuerar TestFlight-appar för iOS i ett försök att lura offer.

Hur Datzbro infekterar enheter

När ett offer laddar ner Android-appen gör det antingen:

• Installerar skadlig programvara direkt på enheten, eller
• Distribuerar en dropper skapad med Zombinder, en APK-bindningstjänst som kringgår säkerhetsrestriktioner på Android 13 och senare.

Flera skadliga appar har identifierats som distribuerar Datzbro, inklusive:

• Seniorgruppen (twzlibwr.rlrkvsdw.bcfwgozi)
• Livliga år (orgLivelyYears.browses646)
• ActiveSenior (com.forest481.security)
• DanceWave (inedpnok.kfxuvnie.mggfqzhl)

Förmågor och ekonomiska hot

Datzbro har ett brett utbud av funktioner för spionprogram och ekonomiskt bedrägeri, inklusive:

• Inspelning av ljud och fotografering.
• Åtkomst till filer och foton.
• Utföra overlay-attacker, keylogging och fjärrstyrning av enheter.
• Använda Androids tillgänglighetstjänster för att utföra automatiserade åtgärder å offrets vägnar.

En utmärkande funktion är dess schematiska fjärrstyrningsläge, som skickar detaljerad information om alla skärmelement, deras position och innehåll till angriparna. Detta gör att de kan replikera gränssnittet och helt styra enheten på distans.

Dessutom kan Datzbro:

• Visa halvtransparenta överlägg med anpassad text för att dölja skadlig aktivitet.
• Stjäl PIN-koder och lösenord för låsskärmen på enheter för Alipay och WeChat.
• Skanna tillgänglighetsloggar för bank- eller kryptovalutaplånboksappar och extrahera inloggningsuppgifter.

Dessa funktioner belyser skadlig programvaras fokus på ekonomisk vinning och förvandlar det som börjar som spionprogram till ett sofistikerat hot för att stjäla känslig bankinformation.

Attribuerings- och kommando- och kontrollinfrastruktur

Analys tyder på att Datzbro är kopplad till en kinesisktalande hotgrupp, vilket framgår av kinesisk felsökning och loggning i skadlig programvaras källkod. Till skillnad från många familjer av skadlig programvara som förlitar sig på webbaserade C2-paneler, ansluter Datzbro till en kinesiskspråkig skrivbordsapplikation för kommando- och kontrollåtgärder.

En kompilerad version av denna C2-app har läckt ut till ett offentligt virusarkiv, vilket indikerar att skadlig programvara nu kan distribueras fritt bland cyberbrottslingar, vilket ökar dess potentiella räckvidd.

Implikationer för mobil säkerhet

Upptäckten av Datzbro illustrerar utvecklingen av mobila hot, särskilt de som utnyttjar social ingenjörskonst för att rikta in sig på utsatta befolkningsgrupper. Genom att fokusera på seniorer och utnyttja till synes godartade Facebook-händelser kan angripare eskalera en enkel social interaktion till enhetskapande, stöld av inloggningsuppgifter och ekonomiskt bedrägeri.

Denna kampanj belyser vikten av vaksamhet inom mobil säkerhet, särskilt för äldre användare som kan bli måltavlor via förtroendebaserade sociala nätverk.