Android BlankBot Banking Trojan kan samle inn dine personlige data

Cybersikkerhetsforskere har avdekket en ny trussel i form av en Android-banktrojaner kalt BlankBot. Denne ondsinnede programvaren er rettet mot tyrkiske brukere, og tar sikte på å stjele finansiell informasjon gjennom en rekke sofistikerte metoder.

BlankBot-funksjoner

BlankBot er bevæpnet med en rekke skadelige funksjoner. I følge Intel 471s analyse publisert i forrige uke inkluderer disse:

• Kundeinjeksjoner: Villedende overlegg som lurer brukere til å skrive inn sensitiv informasjon.
• Tastelogging: Fanger alt som er skrevet på enheten.
• Skjermopptak: Overvåking og registrering av brukeraktiviteter.
• Kontrollserverkommunikasjon: Bruke en WebSocket-tilkobling for å kommunisere med en fjernkontrollserver.

BlankBot ble oppdaget 24. juli 2024 og er fortsatt i aktiv utvikling. Skadevaren utnytter Androids tilgangstjenesters tillatelser for å få full kontroll over infiserte enheter. Noen av APK-filene som er identifisert for å inneholde BlankBot inkluderer:

• app-release.apk (com.abcdefg.w568b)
• app-release.apk (com.abcdef.w568b)
• app-release-signert (14).apk (com.whatsapp.chma14)
• app.apk (com.whatsapp.chma14p)
• app.apk (com.whatsapp.w568bp)
• showcuu.apk (com.whatsapp.w568b)

Hvordan BlankBot fungerer

I likhet med Mandrake Android-trojaneren, bruker BlankBot et sesjonsbasert pakkeinstallasjonsprogram for å omgå Android 13s sikkerhetstiltak som forhindrer sidelastede apper fra å be om farlige tillatelser direkte. Skadevaren ber ofrene om å tillate installasjoner fra tredjepartskilder, henter APK-filen som er lagret i appens aktivakatalog, og fortsetter med installasjonen uten kryptering.

Når den er installert, utfører BlankBot ulike ondsinnede handlinger, inkludert:

• Skjermopptak og tastelogging: For å fange opp sensitiv informasjon.
• Injiserer overlegg: Basert på spesifikke kommandoer fra en ekstern server for å stjele banklegitimasjon og betalingsdata.
• Avskjære SMS-meldinger: For å fange opp autentiseringskoder og annen viktig informasjon.
• Avinstallere programmer: Fjerne sikkerhetsapper og annen programvare.
• Innsamling av data: Innsamling av kontaktlister, installerte apper og andre personlige data.
• Forhindre tilgang: Bruk av tilgjengelighetstjenester API for å blokkere tilgang til enhetsinnstillinger og antivirusapper.

Googles svar og beskyttelsestiltak

Google har uttalt at ingen apper som inneholder BlankBot er funnet i Google Play Store. Android-brukere er automatisk beskyttet mot kjente versjoner av denne skadelige programvaren av Google Play Protect, som er aktivert som standard på enheter med Google Play-tjenester. Denne beskyttelsen advarer brukere og blokkerer apper som inneholder skadelig programvare, selv fra kilder utenfor Play.

Som svar på bredere trusler, inkludert de som utgjøres av SMS Blaster-svindelteknikker som omgår operatørnettverksbeskyttelse, har Google innført flere avbøtende tiltak. Disse inkluderer muligheten til å deaktivere 2G på modemnivå og slå av null-chiffer, som er avgjørende for driften av falske basestasjoner som brukes i slike angrep. I tillegg har Google trappet opp mobilsikkerheten ved å varsle brukere om ukrypterte nettverkstilkoblinger og bruk av mobiltelefonsimulatorer for snoking eller SMS-svindel.

Oppdagelsen av BlankBot fremhever den pågående utviklingen av Android-malware og behovet for årvåken sikkerhetspraksis. Ettersom denne trojaneren fortsetter å utvikle seg, er det avgjørende for brukerne å holde seg informert og dra nytte av innebygde sikkerhetsfunksjoner som Google Play Protect. Ved å være forsiktige og oppmerksomme kan brukere bidra til å beskytte enhetene og personlig informasjon mot nye trusler.