Android BlankBot Banking Trojan kan samla in dina personuppgifter

Cybersäkerhetsforskare har upptäckt ett nytt hot i form av en Android-banktrojan vid namn BlankBot. Denna skadliga programvara riktar sig till turkiska användare och syftar till att stjäla finansiell information genom en mängd olika sofistikerade metoder.

BlankBot-funktioner

BlankBot är beväpnad med en rad skadliga funktioner. Enligt Intel 471:s analys som publicerades förra veckan inkluderar dessa:

• Kundinjektioner: Bedrägliga överlagringar som lurar användare att ange känslig information.
• Keylogging: Fångar allt som skrivits på enheten.
• Skärminspelning: Övervakning och inspelning av användaraktiviteter.
• Kontrollserverkommunikation: Använder en WebSocket-anslutning för att kommunicera med en fjärrkontrollserver.

BlankBot upptäcktes den 24 juli 2024 och är fortfarande i aktiv utveckling. Skadlig programvara utnyttjar Androids behörigheter för tillgänglighetstjänster för att få full kontroll över infekterade enheter. Några av APK-filerna som identifierats innehålla BlankBot inkluderar:

• app-release.apk (com.abcdefg.w568b)
• app-release.apk (com.abcdef.w568b)
• app-release-signed (14).apk (com.whatsapp.chma14)
• app.apk (com.whatsapp.chma14p)
• app.apk (com.whatsapp.w568bp)
• showcuu.apk (com.whatsapp.w568b)

Hur BlankBot fungerar

I likhet med Mandrake Android-trojanen använder BlankBot ett sessionsbaserat paketinstallationsprogram för att kringgå Android 13:s säkerhetsåtgärder som förhindrar sidoladdade appar från att begära farliga behörigheter direkt. Skadlig programvara uppmanar offer att tillåta installationer från tredjepartskällor, hämtar APK-filen som är lagrad i appens tillgångskatalog och fortsätter med installationen utan kryptering.

När den väl har installerats utför BlankBot olika skadliga åtgärder, inklusive:

• Skärminspelning och tangentloggning: För att fånga känslig information.
• Injicera överlägg: Baserat på specifika kommandon från en fjärrserver för att stjäla bankuppgifter och betalningsdata.
• Avlyssning av SMS-meddelanden: För att fånga autentiseringskoder och annan viktig information.
• Avinstallera program: Ta bort säkerhetsappar och annan programvara.
• Insamling av data: Insamling av kontaktlistor, installerade appar och annan personlig data.
• Förhindra åtkomst: Använda tillgänglighetstjänsters API för att blockera åtkomst till enhetsinställningar och antivirusappar.

Googles svar och skyddsåtgärder

Google har uppgett att inga appar som innehåller BlankBot har hittats i Google Play Butik. Android-användare skyddas automatiskt mot kända versioner av denna skadliga programvara av Google Play Protect, som är aktiverat som standard på enheter med Google Play-tjänster. Detta skydd varnar användare och blockerar appar som innehåller skadlig programvara, även från källor utanför Play.

Som svar på bredare hot, inklusive de som utgörs av SMS Blaster-bedrägeritekniker som kringgår operatörens nätverksskydd, har Google infört flera begränsningsåtgärder. Dessa inkluderar möjligheten att inaktivera 2G på modemnivå och stänga av nollchiffer, vilket är avgörande för driften av falska basstationer som används i sådana attacker. Dessutom har Google ökat mobilsäkerheten genom att uppmärksamma användare på okrypterade nätverksanslutningar och användningen av mobilsimulatorer för snokning eller sms-bedrägeri.

Upptäckten av BlankBot belyser den pågående utvecklingen av skadlig programvara för Android och behovet av vaksamma säkerhetsrutiner. När den här trojanen fortsätter att utvecklas är det avgörande för användarna att hålla sig informerade och dra nytta av inbyggda säkerhetsfunktioner som Google Play Protect. Genom att förbli försiktiga och medvetna kan användare hjälpa till att skydda sina enheter och personlig information från nya hot.