Proofpoint: FluBot-malware verspreidt zich snel door Europa

proofpoint

Na een korte pauze begin maart 2021, die wordt toegeschreven aan arrestaties door de Spaanse autoriteiten, is de FluBot-malware weer terug van weggeweest. De malware verspreidt zich nu in rap tempo door verschillende Europese landen via sms-berichten. De meest recente slachtoffers zijn Android-gebruikers in het Verenigd Koninkrijk, Duitsland, Hongarije, Italië, Polen en Spanje. Dit blijkt uit onderzoek van Proofpoint en openbare informatie. De malware staat mogelijk op het punt om zich wereldwijd onder andere gebruikers te verspreiden.
 

Recente FluBot-activiteit

De cybercriminelen achter FluBot kijken inmiddels een stuk verder dan hun initiële doelwit Spanje. Dit land was oorspronkelijk verantwoordelijk voor het overgrote deel van de infecties sinds de ontdekking van de malware eind 2020. Aanvallen vinden nu vooral plaats in het VK, Duitsland, Hongarije, Italië, Polen en Spanje. Nieuwe doelwitten, waaronder de VS, zullen waarschijnlijk spoedig volgen.
 
Proofpoint heeft meer dan 700 unieke domeinen waargenomen alleen al in de Engelstalige aanvalscampagne. Proofpoint schat dat er momenteel ongeveer 7000 geïnfecteerde apparaten zijn die de Engelstalige campagne door het Verenigd Koninkrijk verspreiden. Het volume van de schadelijke SMS-berichten kan echter in de tienduizenden per uur lopen en sommige mobiele gebruikers hebben tot wel zes sms-berichten ontvangen met daarin de FluBot-link.
 
FluBot werkt nog steeds uitsluitend via SMS en heeft zich op dit moment nog niet via e-mail verspreid. De door Proofpoint geanalyseerde FluBot-versies hebben minimaal invloed op Android SDK-versie 7.0 en zijn gericht op Android SDK-versie 9.0.
 

SMS-phishing

Ongeacht de malware-versie of het lokmiddel begint elke FluBot-infectie met een potentieel slachtoffer dat een sms-bericht ontvangt waarin een bezorgdienst wordt geïmiteerd. De berichten hebben allen betrekking op informatie over een zogenaamde bezorging (afbeelding 1), zoals "FEDEX Uw pakket komt eraan, volg het hier" en bevatten links naar schadelijke sites. Als het slachtoffer de link volgt, wordt hij of zij gevraagd een schadelijke app te downloaden die, om de geloofwaardigheid te vergroten, het logo van de bezorgdienst als pictogram heeft. Daarnaast gebruikt deze app legitiem uitziende APK-bestanden (het app-bestandsformaat van Android) waarin FluBot verborgen zit.
 
 

Functionaliteit

Nadat de app is geïnstalleerd, is actie van de gebruiker vereist om de malware volledige toegang tot het apparaat te verschaffen via de Android Accessibility Service en Notification Access. Figuur 2 toont de reeks meldingen, met een nep FedEx-bericht als lokaas, waarmee het slachtoffer deze toegang verleent.
 
Zodra beide FluBot-versies toestemming hebben gekregen, werken ze zowel als spyware en sms-spammer. Bovendien kunnen de criminelen met de toegang creditcard- en bankgegevens stelen. De malware gebruikt de lijst met contactpersonen van het slachtoffer en via een SMS-phishing-bericht wordt vervolgens de verdere verspreiding van de malware via het apparaat van het slachtoffer voortgezet.
 
Een ander belangrijk onderdeel van de malware is dat hij overlays kan installeren voor verschillende bank-apps en Google Play. Wanneer de malware de creditcardgegevens van het slachtoffer heeft buitgemaakt, wordt het kaartnummer lokaal geverifieerd en vervolgens naar de cybercriminelen gestuurd voor verdere exploitatie.
 

Vooruitzicht

FluBot zal zich waarschijnlijk in hoog tempo blijven verspreiden, waarbij het zich methodisch van land naar land verplaatst. Zolang er gebruikers zijn die onverwachte sms-berichten vertrouwen en de instructies en aanwijzingen van de bedreigers opvolgen, zullen campagnes als deze succesvol zijn.
 
Om het risico om slachtoffer te worden van FluBot te verkleinen, raadt Proofpoint alle mobiele gebruikers aan om:
  • Op hun hoede te zijn voor onverwachte sms-berichten.
  • Alleen apps te installeren die afkomstig zijn van legitieme app stores
  • Goed te controleren of de gevraagde machtigingen logisch zijn wanneer nieuwe apps worden geïnstalleerd.
Lees ook
Kaspersky werpt licht op het ransomware-ecosysteem

Kaspersky werpt licht op het ransomware-ecosysteem

Ransomware ligt op het puntje van ieders tong wanneer bedrijven cyberbedreigingen bespreken waarmee ze in 2021 waarschijnlijk te maken zullen krijgen. Aanvallers hebben hun merken opgebouwd en zijn brutaal in hun opmars als nooit tevoren. Het nieuws over organisaties die worden getroffen door ransomware staat consequent op de voorpagina's van kranten.

Operatie TunnelSnake: Kaspersky legt onbekende rootkit bloot

Operatie TunnelSnake: Kaspersky legt onbekende rootkit bloot

Het onderzoek naar de campagne begon toen Kaspersky een reeks waarschuwingen van ontving bij de detectie van een unieke rootkit binnen de beoogde netwerken. Deze rootkit, die de naam Moriya kreeg, was bijzonder ontwijkend dankzij twee kenmerken.

Mimecast: Helft Nederlandse organisaties getroffen door gijzelsoftware

Mimecast: Helft Nederlandse organisaties getroffen door gijzelsoftware

De politie registreerde in het eerste kwartaal van 2021 meer dan 3800 gevallen van cybercrime, bijna een verdubbeling ten opzichte van dezelfde periode in 2020. Maar het werkelijke aantal incidenten ligt nog een stuk hoger, blijkt uit een onderzoek onder IT- en securityprofessionals in opdracht van cyberbeveiliger Mimecast . Zo was ruim de helft (53%)...