Nieuwe Android malware maakt slachtoffers in Nederland

virus-pixabay-geralt

Opnieuw zijn malafide apps ontdekt in de officiële appwinkel voor het Android platform. Het gaat om acht apps, die malware bevat die een banking trojan installeert op getroffen apparaten. Het overgrote deel van de slachtoffers van deze malware lijkt uit Nederland te komen.

Dit meldt Lukas Stefanko, malwareonderzoeker bij beveiligingsbedrijf ESET. Het gaat om malware die uit meerdere lagen is opgebouwd en gebruik maakt van encryptie om detectie te voorkomen. Zodra de malafide apps zijn gedownload gedragen de apps zich ogenschijnlijk normaal om geen argwaan te wekken bij gebruikers. Vervolgens ontsleutelt de malware de eerste payload en voert deze uit. Deze payload ontsleutelt op zijn beurt de tweede payload, en voert deze eveneens uit. Deze processen worden onzichtbaar voor de gebruiker uitgevoerd.

‘Adobe Flash Player’, ‘Adobe Update’ of ‘Android Update’

De derde payload bestaat uit een tweede malafide app, die zonder medeweten van de gebruiker wordt gedownload vanaf een hardcoded URL. Ongeveer vijf minuten nadat deze malafide app is binnengehaald krijgen gebruikers het verzoek de installatie van de app goed te keuren. Om de kans te vergroten dat gebruikers deze toestemming geven is de malware vermomd als bekende software, zoals ‘Adobe Flash Player’, ‘Adobe Update’ of ‘Android Update’.

Bij de installatie van deze tweede malafide app verkrijgt de malware daarnaast alle permissies die het nodig heeft om de vierde en laatste fase van de aanval uit te voeren. Hierbij wordt een mobiele banking trojan genaamd MazarBot geïnstalleerd op het apparaat van slachtoffers. Deze trojan toont een vals inlogscherm om bankgegevens van gebruikers te stelen of valse invulformulieren om creditcardgegevens in handen te krijgen.

Nederlandse slachtoffers

De derde payload van de malware wordt gedownload vanaf een hardcoded URL, die is vermomd via de URL-verkorter Bit.ly. Cijfers van Bit.ly laten zien dat op 14 november de payload bijna 3.000 keer is opgehaald. Opvallend is dat deze verzoeken voor het overgrote deel afkomstig zijn uit Nederland. Meer informatie is beschikbaar in een artikel van ESET op WeLiveSecurity.com.

De afgelopen tijd is meer Android malware ontdekt in Google Play. Zo waarschuwden zowel Malwarebytes, McAfee en Doctor Web deze week ook al voor malware in de officiële appwinkel van het Android platform.

Lees ook
Dit zijn de verwachtingen in 2024 voor het continu veranderende dreigingslandschap

Dit zijn de verwachtingen in 2024 voor het continu veranderende dreigingslandschap

Niemand weet wat ‘The Next Big Thing’ in het dreigingslandschap wordt. Wat wel mogelijk is, is terugkijken naar 2023, opvallende gedragingen van actoren identificeren en een gefundeerde inschatting maken van wat 2024 mogelijk in petto heeft.

TA866 keert terug in grootschalige e-mailcampagne

TA866 keert terug in grootschalige e-mailcampagne

Proofpoint onderzoekers stellen de terugkeer van TA866 in een grootschalige e-mailcampagne vast. TA866 was negen maanden afwezig. Op 11 januari 2024 blokkeerde Proofpoint een grootschalige campagne van enkele duizenden e-mails gericht op Noord-Amerika.

Dreigingsactor 'BattleRoyal' gebruikt DarkGate-malware voor cybercriminele doeleinden

Dreigingsactor 'BattleRoyal' gebruikt DarkGate-malware voor cybercriminele doeleinden

Onderzoekers van cybersecuritybedrijf Proofpoint publiceren vandaag onderzoek over de activiteiten van dreigingsactor 'Battle Royal'. Deze actor gebruikt DarkGate- en NetSupport-malware om controle te krijgen over geïnfecteerde hosts via meerdere verschillende aanvalsketens en social engineering technieken.