Nieuwe FlyTrap Android-malware treft duizenden apparaten

Mobiele beveiligingsonderzoekers hebben een nieuwe mobiele malware ontdekt die de ronde doet. De malware heeft de naam FlyTrap gekregen en is van invloed op Android-apparaten.

Volgens rapporten is FlyTrap op meer dan 10.000 apparaten geïnstalleerd, met slachtoffers in bijna 150 verschillende landen over de hele wereld. Het rapport waarin de malware wordt beschreven, is afkomstig van zLabs - een tak van het mobiele beveiligingsbedrijf Zimperium.

De malware werd gespot in zowel applicaties die in de Google Play Store stonden als in app-depots van derden. De geïnfecteerde app-pakketten zijn onmiddellijk verwijderd uit de Play Store, na een melding van zLabs naar Google. Vreemd genoeg hebben onderzoekers de mobiele malware getraceerd naar een groep slechte acteurs in Zuid-Azië, met name in Vietnam.

De malware fungeert als een Trojaans paard en gebruikt herkenbare social engineering-trucs om Facebook-accountovernames uit te voeren. Zoals FlyTrap werkt, toont het onschuldig ogende advertenties in de kwaadaardige apps, inclusief advertenties voor kortingsbonnen of onschuldig ogende stemspelletjes en opiniepeilingen. De onderzoekers merkten ook op dat alle banners en knoppen die verband houden met de malware, werden geproduceerd volgens een hoge visuele en kwaliteitsstandaard, waardoor het plan nog meer geloofwaardigheid kreeg.

De knoppen en links vragen gebruikers om in te loggen op hun Facebook-accounts, terwijl FlyTrap de informatie-invoer kaapt en in wezen toegang krijgt tot het account.

Een laatste merkwaardig detail over de kwaadaardige campagne is dat zelfs nadat slachtoffers hun Facebook-inloggegevens aan de hackers hebben gegeven, de apps nog een laatste bericht weergeven waarin staat dat de nep-Netflix-coupon of ander bungelend lokaas nu is verlopen. Dit voegt waarschijnlijk een extra randje van valse legitimiteit toe aan de hele campagne.

Om het nog erger te maken, ontdekten onderzoekers dat de servers die de slechte actoren achter FlyTrap gebruiken, verkeerd zijn geconfigureerd en kunnen worden gehackt en alle gestolen accounts en inloggegevens kunnen blootleggen aan andere bedreigingsactoren of "iedereen op internet".

Hier is een lijst met applicatienamen en bijbehorende domeinen waarvan bekend is dat ze FlyTrap bevatten, zoals gepubliceerd door zLabs:

GG-tegoedbon (com.luxcarad.cardid)

Stem Europees voetbal (com.gardenguides.plantingfree)

GG-couponadvertenties (com.free_coupon.gg_free_coupon)

GG-voucher-advertenties (com.m_application.app_moi_6)

GG Voucher (com.free.voucher)

Chatfuel (com.ynsuper.chatfuel)

Netto coupon (com.free_coupon.net_coupon)

Netto coupon (com.movie.net_coupon)

EURO 2021 Officieel (com.euro2021)