Trojan Android trị giá 3.000 đô la này nhắm vào các ngân hàng và sàn giao dịch tiền điện tử
Có tới 77 tổ chức ngân hàng, sàn giao dịch tiền điện tử và tổ chức quốc gia đã trở thành mục tiêu của một loại trojan truy cập từ xa (RAT) trên Android mới được phát hiện có tên là DroidBot .
Các nhà nghiên cứu Simone Mattia, Alessandro Strino và Federico Valentini của Cleafy cho biết : "DroidBot là một RAT hiện đại kết hợp các kỹ thuật tấn công phủ lớp và VNC ẩn với các khả năng giống như phần mềm gián điệp, chẳng hạn như ghi lại phím bấm và giám sát giao diện người dùng" .
"Hơn nữa, nó tận dụng giao tiếp kênh đôi, truyền dữ liệu ra ngoài thông qua MQTT và nhận lệnh vào thông qua HTTPS, mang lại khả năng hoạt động linh hoạt và phục hồi tốt hơn."
Công ty phòng chống gian lận của Ý cho biết họ phát hiện phần mềm độc hại này vào cuối tháng 10 năm 2024, mặc dù có bằng chứng cho thấy nó đã hoạt động ít nhất từ tháng 6, hoạt động theo mô hình phần mềm độc hại dưới dạng dịch vụ (MaaS) với mức phí hàng tháng là 3.000 đô la.
Không dưới 17 nhóm liên kết đã được xác định là trả tiền để truy cập vào dịch vụ này. Điều này cũng bao gồm quyền truy cập vào bảng điều khiển web nơi họ có thể sửa đổi cấu hình để tạo tệp APK tùy chỉnh nhúng phần mềm độc hại, cũng như tương tác với các thiết bị bị nhiễm bằng cách đưa ra nhiều lệnh khác nhau.
Các chiến dịch tận dụng DroidBot chủ yếu được phát hiện ở Áo, Bỉ, Pháp, Ý, Bồ Đào Nha, Tây Ban Nha, Thổ Nhĩ Kỳ và Vương quốc Anh. Các ứng dụng độc hại được ngụy trang dưới dạng các ứng dụng bảo mật chung, Google Chrome hoặc các ứng dụng ngân hàng phổ biến.
Trong khi phần mềm độc hại này chủ yếu lợi dụng các dịch vụ trợ năng của Android để thu thập dữ liệu nhạy cảm và điều khiển từ xa các thiết bị bị nhiễm, nó còn nổi bật vì sử dụng hai giao thức khác nhau để chỉ huy và kiểm soát (C2).
Cụ thể, DroidBot sử dụng HTTPS cho các lệnh đến, trong khi dữ liệu đi từ các thiết bị bị nhiễm được truyền bằng giao thức nhắn tin gọi là MQTT.
"Sự tách biệt này tăng cường tính linh hoạt và khả năng phục hồi hoạt động của nó", các nhà nghiên cứu cho biết. "MQTT broker mà DroidBot sử dụng được tổ chức thành các chủ đề cụ thể phân loại các loại giao tiếp được trao đổi giữa các thiết bị bị nhiễm và cơ sở hạ tầng C2".
Nguồn gốc chính xác của những kẻ tấn công đứng sau hoạt động này vẫn chưa được biết, mặc dù phân tích các mẫu phần mềm độc hại đã tiết lộ rằng chúng là người nói tiếng Thổ Nhĩ Kỳ.
"Phần mềm độc hại được trình bày ở đây có thể không nổi bật về mặt kỹ thuật, vì nó khá giống với các họ phần mềm độc hại đã biết", các nhà nghiên cứu lưu ý. "Tuy nhiên, điều thực sự nổi bật là mô hình hoạt động của nó, rất giống với chương trình Malware-as-a-Service (MaaS) - điều không thường thấy trong loại mối đe dọa này".