Klopatra Banking Trojan

En tidigare okänd Android-banktrojan, Klopatra, har komprometterat över 3 000 enheter, varav Spanien och Italien är hårdast drabbade. Denna sofistikerade skadliga kod upptäcktes i slutet av augusti 2025 av informationssäkerhetsforskare och kombinerar fjärråtkomsttrojaner (RAT) med avancerade undanflyktstekniker, vilket riktar in sig på finansiell information och möjliggör bedrägliga transaktioner.

Sofistikerade attacktekniker och fjärrkontroll

Klopatra använder Hidden Virtual Network Computing (VNC) för att få fjärrkontroll över infekterade enheter. Den använder dynamiska överlagringar för att stjäla inloggningsuppgifter och utföra obehöriga transaktioner. Till skillnad från konventionell mobil skadlig kod integrerar Klopatra inbyggda bibliotek och den kommersiella Virbox-kodskyddssviten, vilket gör upptäckt och analys extremt svårt.

Analys av den skadliga programvarans kommando- och kontrollinfrastruktur (C2) och språkliga ledtrådar tyder på att en turkisktalande kriminell grupp driver Klopatra som ett privat botnät, snarare än att erbjuda det som en offentlig skadlig programvara som en tjänst (MaaS). Sedan mars 2025 har 40 olika versioner av trojanen identifierats.

Hur offer lockas in

Klopatra sprids via social ingenjörskonst, där användare luras att installera appar som utger sig för att vara ofarliga, till exempel IPTV-streamingappar. Dessa appar utnyttjar användarnas vilja att installera piratkopierad programvara från opålitliga källor.

När den är installerad begär droppern behörighet att installera paket från okända källor. Den extraherar sedan Klopatra-nyttolasten från en inbäddad JSON Packer. Skadlig programvara begär dessutom Android-tillgänglighetstjänster, som, även om de är utformade för att hjälpa användare med funktionsnedsättningar, kan missbrukas för att:

• Läs skärminnehållet
• Spela in tangenttryckningar
• Utför åtgärder autonomt

Detta gör det möjligt för angripare att utföra ekonomiskt bedrägeri utan offrets vetskap.

Avancerad arkitektur för smygande och motståndskraftig

Klopatra utmärker sig tack vare sin avancerade och robusta design:

• Virbox-integrationen skyddar skadlig programvara från analys.
• Kärnfunktioner flyttades från Java till inbyggda bibliotek för ökad stealth.
• Omfattande kodförvirring, anti-debugging och integritetskontroller vid körning hindrar upptäckt.

Skadlig kod inaktiverar också förinstallerat antivirusprogram och kan eskalera dess behörigheter med hjälp av tillgänglighetstjänster för att förhindra uppsägning.

Bedrägeribekämpning och strategisk timing

Klopatras operatörer följer en noggrant orkestrerad attacksekvens:

• Kontrollera om enheten laddas, om skärmen är avstängd och om enheten är i viloläge.
• Minska skärmens ljusstyrka till noll och visa ett svart överlägg.
• Använd stulna PIN-koder eller mönster för att komma åt bankappar.
• Utför flera omedelbara banköverföringar oupptäckta.

Denna nattstrategi säkerställer att enheterna förblir strömförsörjda och obevakade, vilket ger angripare ett idealiskt tidsfönster att använda dem medan offren sover.

Konsekvenser för finanssektorn

Även om Klopatra inte återuppfinner mobil skadlig kod, representerar den en betydande upptrappning av sofistikeringen av hot. Genom att använda kommersiella skydd och smygande taktiker maximerar operatörerna både lönsamheten och livslängden på sin verksamhet.

Google har bekräftat att inga infekterade appar har hittats på Google Play, men skadlig programvaras beroende av distributionskanaler för tredjeparts- och piratkopierade appar understryker den fortsatta risken för mobilanvändare.