Mexikanischer Hacker verbreitet Android-Banking-Malware
Eine Cyberkriminelle mit mexikanischem Ursprung wurde als Täter einer globalen Android-Mobile-Malware-Kampagne identifiziert, die sich an Finanzinstitute richtete. Die Kampagne, die zwischen Juni 2021 und April 2023 stattfand, richtete sich gezielt an spanische und chilenische Banken.
Der Sicherheitsforscher Pol Thill hat die Aktivität einer Person namens Neo_Net zugeschrieben. Die Forschungsergebnisse wurden von SentinelOne nach einer gemeinsamen Malware Research Challenge mit vx-underground veröffentlicht.
Trotz der Verwendung relativ einfacher Tools hat Neo_Net durch die Anpassung seiner Infrastruktur an bestimmte Institutionen einen erheblichen Erfolg erzielt. Laut Thill hat dieser Ansatz zum Diebstahl von über 350.000 EUR von den Bankkonten der Opfer und zur Kompromittierung persönlich identifizierbarer Informationen (PII) von Tausenden von Personen geführt.
Zu den Hauptzielen zählen namhafte Banken, darunter Santander, BBVA, CaixaBank, Deutsche Bank, Crédit Agricole und ING.
Neo_Net, der mit einer spanischsprachigen Person mit Wohnsitz in Mexiko in Verbindung steht, hat sich als erfahrener Cyberkrimineller etabliert. Sie betreiben den Verkauf von Phishing-Panels und kompromittierten Opferdaten an Dritte. Darüber hinaus bieten sie einen Dienst namens Ankarex an, der sich auf Smishing (SMS-Phishing) konzentriert und auf mehrere Länder weltweit abzielt.
Der Angriffsvektor beginnt mit Smishing
In der Anfangsphase des Angriffs handelt es sich um SMS-Phishing, bei dem der Bedrohungsakteur verschiedene Taktiken einsetzt, um Empfänger dazu zu verleiten, auf gefälschte Zielseiten zu klicken. Diese Seiten werden zum Sammeln und Extrahieren von Anmeldeinformationen über einen Telegram-Bot verwendet.
Thill erklärte, dass die von Neo_Net erstellten Phishing-Seiten mithilfe ihrer Panels PRIV8 sorgfältig gestaltet wurden und mehrere Abwehrmaßnahmen beinhalten. Zu diesen Maßnahmen gehören das Blockieren von Anfragen von nicht mobilen Benutzeragenten und das Verbergen der Seiten vor Bots und Netzwerkscannern. Die Seiten ähneln stark legitimen Bankanwendungen und sind mit Animationen versehen, um eine überzeugende Fassade zu schaffen.
Es wurde auch beobachtet, dass die Bedrohungsakteure Bankkunden dazu verleiteten, betrügerische Android-Apps zu installieren, die als Sicherheitssoftware getarnt waren. Nach der Installation fordern diese Apps SMS-Berechtigungen an, um von der Bank per SMS gesendete Zwei-Faktor-Authentifizierungscodes (2FA) zu erfassen.
