Nieuwe soort Android RAT richt zich op bankieren en cryptovaluta
Mobiele beveiligingsonderzoekers publiceerden informatie over een voorheen onbekende Android-malware, genaamd Vultur. De malware fungeert als een trojan voor externe toegang en misbruikt schermopname om gegevens van bank- en crypto-applicaties te stelen.
Vultur misbruikt VNC- of virtuele netwerkcomputingmogelijkheden voor schermopname en schermdeling om de activiteit op de schermen van geïnfecteerde apparaten te controleren. Volgens onderzoekers waren de primaire doelen van Vultur toepassingen voor bankieren en cryptoportefeuillebeheer, met een focus op Europese landen en Australië.
Een tijdje wist de malware de detectie te overleven en werd verspreid in de officiële Google Play Store, weggestopt in een kwaadaardige app genaamd "Protection Guard", die zich voordeed als een helper voor telefoonbeveiliging. De kwaadaardige app wist meer dan 5000 downloads te scoren.
Wat Vultur onderscheidt van vergelijkbare RAT-malware is dat het niet afhankelijk is van HTML-overlays die inloggegevens exfiltreren. Onderzoekers merkten op dat de overlay-aanpak meestal "een grotere investering in tijd en moeite" vereist. In plaats daarvan vertrouwt Vultur op schermopname en keylogging, wat een eenvoudigere en meer schaalbare benadering is.
Traditioneel zou bankmalware een overtuigende reproductie van de originele interface en inlogpagina van een app gebruiken die bovenop de originele app wordt weergegeven, waarbij alle ingevoerde inloggegevens worden vastgelegd. Onderzoekers zijn van mening dat dreigingsactoren geleidelijk afstappen van deze benadering en nieuwe, efficiëntere manieren proberen te vinden om inloggegevens te stelen.
De onderzoekers die Vultur onderzochten, vonden ook enkele overeenkomsten tussen de nieuwe RAT en een eerder bestaand stuk Android-malware genaamd Brunhilda. Brunhilda is een dropper die wordt gebruikt om verschillende uiteindelijke payloads te verdelen, in wat onderzoekers het "dropper-as-a-service" -model noemen.
De bottom line is een waarneembare trend en push om af te stappen van trojans die zijn gekocht op hackerwebsites en slechteriken die zich meer richten op malware die schaalbaarder is en beter geschikt is voor hun specifieke behoeften. Dankzij de structuur van malware zoals Vultur kunnen alle acties worden gescript en ingebouwd in de backend, waardoor aanvallen gemakkelijker kunnen worden uitgevoerd.
