Ερευνητές κυβερνοασφάλειας έχουν εντοπίσει ένα νέο Android banking trojan με την ονομασία Datzbro, το οποίο μπορεί να πραγματοποιεί επιθέσεις takeover συσκευών (DTO) και να εκτελεί απατηλές συναλλαγές, εκμεταλλευόμενο τους ηλικιωμένους.
Η ολλανδική εταιρεία κινητής ασφάλειας ThreatFabric ανακάλυψε την καμπάνια τον Αύγουστο του 2025, μετά από αναφορές χρηστών στην Αυστραλία για απατεώνες που διαχειρίζονται ομάδες στο Facebook, προωθώντας “ταξίδια για ηλικιωμένους“. Άλλες περιοχές που στοχοποιούνται από τους απειλητικούς παράγοντες περιλαμβάνουν τη Σιγκαπούρη, τη Μαλαισία, τον Καναδά, τη Νότια Αφρική και το Ηνωμένο Βασίλειο.
Οι καμπάνιες επικεντρώνονται ειδικά σε ηλικιωμένα άτομα που αναζητούν κοινωνικές δραστηριότητες, ταξίδια, συναντήσεις και παρόμοια γεγονότα. Αυτές οι ομάδες στο Facebook έχουν βρεθεί να μοιράζονται περιεχόμενο που παράγεται από τεχνητή νοημοσύνη (AI), υποστηρίζοντας ότι οργανώνουν διάφορες δραστηριότητες για ηλικιωμένους.
Εάν οι πιθανοί στόχοι εκφράσουν την επιθυμία να συμμετάσχουν σε αυτές τις εκδηλώσεις, προσεγγίζονται μέσω Facebook Messenger ή WhatsApp, όπου τους ζητείται να κατεβάσουν ένα αρχείο APK από έναν ψεύτικο σύνδεσμο (π.χ. “download.seniorgroupapps[.]com”).
Δείτε επίσης: Νέα επίθεση Spear-Phishing διανέμει το DarkCloud malware
“Οι ψεύτικες ιστοσελίδες προέτρεπαν τους επισκέπτες να εγκαταστήσουν μια λεγόμενη εφαρμογή κοινότητας, υποστηρίζοντας ότι θα τους επιτρέψει να εγγραφούν σε εκδηλώσεις, να συνδεθούν με μέλη και να παρακολουθήσουν προγραμματισμένες δραστηριότητες“, ανέφερε η ThreatFabric σε μια αναφορά.
Ενδιαφέρον παρουσιάζει το γεγονός ότι οι ψεύτικες ιστοσελίδες περιέχουν, επίσης, συνδέσμους placeholder για τη λήψη μιας εφαρμογής iOS, υποδεικνύοντας ότι οι επιτιθέμενοι επιδιώκουν να στοχεύσουν και τα δύο λειτουργικά συστήματα κινητών, διανέμοντας εφαρμογές TestFlight για iOS και εξαπατώντας τα θύματα να τις κατεβάσουν.
Εάν το θύμα κάνει κλικ στο κουμπί για να κατεβάσει την εφαρμογή Android, γίνεται είτε άμεση ανάπτυξη του κακόβουλου λογισμικού στις συσκευές τους είτε ανάπτυξη ενός dropper που κατασκευάζεται χρησιμοποιώντας ένα APK binding service με την ονομασία Zombinder. Αυτό παρακάμπτει τους περιορισμούς ασφαλείας στο Android 13 και μεταγενέστερες εκδόσεις.
Μερικές από τις εφαρμογές Android, που έχουν βρεθεί να διανέμουν το Datzbro, περιλαμβάνουν:
– Senior Group (twzlibwr.rlrkvsdw.bcfwgozi)
– Lively Years (orgLivelyYears.browses646)
– ActiveSenior (com.forest481.security)
– DanceWave (inedpnok.kfxuvnie.mggfqzhl)
– 作业帮 (io.mobile.Itool)
– 麻豆传媒 (fsxhibqhbh.hlyzqkd.aois)
– 麻豆传媒 (mobi.audio.aassistant)
– 谷歌浏览器 (tvmhnrvsp.zltixkpp.mdok)
– MT管理器 (varuhphk.vadneozj.tltldo)
– MT管理器 (spvojpr.bkkhxobj.twfwf)
– 大麦 (mnamrdrefa.edldylo.zish)
– MT管理器 (io.red.studio.tracker)
Datzbro Android Trojan: Δυνατότητες
Το κακόβουλο λογισμικό, όπως και άλλα Android banking trojans, διαθέτει ένα ευρύ φάσμα δυνατοτήτων για την καταγραφή ήχου, τη λήψη φωτογραφιών, την πρόσβαση σε αρχεία και φωτογραφίες και την εκτέλεση οικονομικής απάτης μέσω απομακρυσμένου ελέγχου, επιθέσεων overlay και καταγραφής πληκτρολογήσεων. Επίσης, βασίζεται στις υπηρεσίες προσβασιμότητας του Android για να εκτελεί απομακρυσμένες ενέργειες εκ μέρους του θύματος.
Δείτε επίσης: Το TamperedChef malware μιμείται εργαλεία παραγωγικότητας
Ένα αξιοσημείωτο χαρακτηριστικό του Datzbro είναι το schematic remote control mode, το οποίο επιτρέπει στο κακόβουλο λογισμικό να στέλνει πληροφορίες για όλα τα στοιχεία που εμφανίζονται στην οθόνη, τη θέση και το περιεχόμενό τους, επιτρέποντας στους χειριστές να αναδημιουργήσουν τη διάταξη και να καταλάβουν αποτελεσματικά τη συσκευή.
Το banking trojan μπορεί επίσης να λειτουργήσει ως semi-transparent black overlay με custom κείμενο για να κρύψει τη κακόβουλη δραστηριότητα από το θύμα, καθώς και να κλέψει το PIN της οθόνης κλειδώματος της συσκευής και τους κωδικούς πρόσβασης που σχετίζονται με το Alipay και το WeChat. Επιπλέον, σαρώνει τα accessibility event logs για ονόματα πακέτων που σχετίζονται με τράπεζες ή πορτοφόλια κρυπτονομισμάτων και για κείμενο που περιέχει κωδικούς πρόσβασης, PIN ή άλλους κωδικούς.
🔒 Προστατέψτε την ιδιωτικότητά σας με Proton VPN
Ελβετικό VPN από τους δημιουργούς του Proton Mail — αυστηρή πολιτική no-logs, ισχυρή κρυπτογράφηση και ενσωματωμένο NetShield που μπλοκάρει διαφημίσεις, trackers & malware.
- ✔ No-logs, με έδρα την Ελβετία (εκτός 14-Eyes)
- ✔ NetShield: φραγή διαφημίσεων, trackers & κακόβουλων domains
- ✔ Καλύπτει όλες τις συσκευές — δωρεάν έκδοση διαθέσιμη
Ο σύνδεσμος είναι συνεργατικός (affiliate) — το SecNews ενδέχεται να λάβει προμήθεια χωρίς επιπλέον κόστος για εσάς. Δεν επηρεάζει την ανεξαρτησία της αρθρογραφίας μας.
“Ένα τέτοιο φίλτρο δείχνει ξεκάθαρα την εστίαση των προγραμματιστών πίσω από το Datzbro, όχι μόνο χρησιμοποιώντας τις κατασκοπευτικές του δυνατότητες αλλά και μετατρέποντάς το σε οικονομική απειλή“, ανέφερε η ThreatFabric. “Με τη βοήθεια των δυνατοτήτων καταγραφής πληκτρολογήσεων, το Datzbro μπορεί να καταγράψει με επιτυχία τα διαπιστευτήρια σύνδεσης για εφαρμογές mobile banking που εισάγονται από ανυποψίαστα θύματα“.
Δείτε επίσης: Η Cloud Security Alliance εισάγει νέο πλαίσιο για το SaaS
Πιστεύεται ότι το Datzbro είναι έργο μιας ομάδας απειλών που μιλάει κινεζικά, δεδομένης της παρουσίας κινεζικών συμβολοσειρών debug και logging στον πηγαίο κώδικα του κακόβουλου λογισμικού. Διαπιστώθηκε ότι οι κακόβουλες εφαρμογές συνδέονται με ένα backend command-and-control (C2) που είναι μια εφαρμογή για υπολογιστές στην κινεζική γλώσσα, γεγονός που την κάνει να ξεχωρίζει από άλλες οικογένειες κακόβουλου λογισμικού που βασίζονται σε web-based C2 panels.
Η ThreatFabric δήλωσε ότι ένα compiled version του C2 app έχει διαρρεύσει σε ένα δημόσιο κοινόχρηστο virus share, γεγονός που υποδηλώνει ότι το κακόβουλο λογισμικό μπορεί να έχει διαρρεύσει και να διανέμεται ελεύθερα μεταξύ των κυβερνοεγκληματιών.
