Mexicaanse hacker verspreidt malware voor Android-bankieren
Een cybercriminele entiteit van Mexicaanse afkomst is geïdentificeerd als de dader van een wereldwijde mobiele Android-malwarecampagne gericht op financiële instellingen. De campagne, die plaatsvond tussen juni 2021 en april 2023, was specifiek gericht op Spaanse en Chileense banken.
Beveiligingsonderzoeker Pol Thill heeft de activiteit toegeschreven aan een persoon die bekend staat als Neo_Net. De onderzoeksresultaten werden gepubliceerd door SentinelOne na een gezamenlijke Malware Research Challenge met vx-underground.
Ondanks het gebruik van relatief ongekunstelde tools, heeft Neo_Net een aanzienlijk succes behaald door hun infrastructuur aan te passen aan specifieke instellingen. Deze aanpak heeft volgens Thill geleid tot de diefstal van meer dan 350.000 EUR van de bankrekeningen van de slachtoffers en het compromitteren van persoonlijk identificeerbare informatie (PII) van duizenden individuen.
Prominente banken, waaronder Santander, BBVA, CaixaBank, Deutsche Bank, Crédit Agricole en ING, behoorden tot de primaire doelwitten.
Neo_Net, die wordt geassocieerd met een Spaanssprekende persoon die in Mexico woont, heeft zichzelf gevestigd als een ervaren cybercrimineel. Ze houden zich bezig met de verkoop van phishingpanels en gecompromitteerde slachtoffergegevens aan derden. Daarnaast bieden ze een service genaamd Ankarex, die zich richt op smishing (sms-phishing) en is ontworpen om meerdere landen over de hele wereld te targeten.
Aanvalsvector begint met smishing
De eerste fase van de aanval omvat sms-phishing, waarbij de bedreigingsactor verschillende tactieken gebruikt om ontvangers te misleiden zodat ze op valse bestemmingspagina's klikken. Deze pagina's worden gebruikt om inloggegevens te verzamelen en te extraheren via een Telegram-bot.
Thill legde uit dat de phishing-pagina's die door Neo_Net zijn gemaakt, zorgvuldig zijn ontworpen met behulp van hun panelen, PRIV8, en meerdere verdedigingsmaatregelen bevatten. Deze maatregelen omvatten het blokkeren van verzoeken van niet-mobiele user-agents en het verbergen van de pagina's voor bots en netwerkscanners. De pagina's lijken sterk op legitieme bankapplicaties, compleet met animaties om een overtuigende façade te creëren.
Er is ook waargenomen dat de bedreigingsactoren bankklanten misleiden om frauduleuze Android-apps te installeren, vermomd als beveiligingssoftware. Eenmaal geïnstalleerd, vragen deze apps sms-machtigingen om codes voor tweefactorauthenticatie (2FA) vast te leggen die door de bank via sms zijn verzonden.
