Greenbean Banking Trojan richt zich op Android-gebruikers

Greenbean, geïdentificeerd als een banktrojan, richt zich specifiek op Android-besturingssystemen en bestaat al sinds minstens 2023. Deze kwaadaardige software is ontworpen om zich te concentreren op het verwerven van bank- en financiële informatie, met aanwijzingen die erop wijzen dat de primaire focus zich richt op gebruikers in Vietnam en andere landen. China.

Net als veel trojans die zich op Android-apparaten richten, maakt Greenbean gebruik van Android Accessibility Services, die bedoeld zijn om gebruikers te helpen bij de interactie met hun apparaten. Deze services hebben de mogelijkheid om verschillende aspecten van het apparaat te manipuleren, zoals het lezen van het scherm, het simuleren van touchscreen- en toetsenbordacties, interactie met dialoogvensters en het vergrendelen/ontgrendelen van het apparaat. Door deze diensten te exploiteren, worden programma's als Greenbean volledige mogelijkheden geboden.

Bij infiltratie vraagt Greenbean de gebruiker om toegankelijkheidsrechten te verlenen. Zodra deze machtigingen zijn verkregen, verhoogt de trojan zijn bevoegdheden en initieert het verzamelen van relevante informatie, waaronder apparaat- en netwerkgegevens, geïnstalleerde applicaties, contactlijsten en sms-gegevens.

Greenbean biedt de mogelijkheid om bestanden en afbeeldingen te downloaden en inhoud van het klembord te extraheren. Hoewel het SMS-berichten kan verzenden, wordt het op het moment van schrijven nog niet gebruikt voor tolfraude.

Bovendien beschikt de trojan over de mogelijkheid om schermafbeeldingen te maken en kan hij met name het scherm van het geïnfecteerde apparaat en de weergave van de camera's van de telefoon streamen.

Het primaire doel van deze malware is het verkrijgen van persoonlijk identificeerbare informatie, inloggegevens en financiële gegevens van slachtoffers. Het richt zich specifiek op toepassingen zoals Gmail, WeChat, AliPay, MyVIB, MetaMask en Paybis. Greenbean kan uitgaande geldtransacties omleiden door de gegevens van de ontvanger te wijzigen, en in sommige gevallen kan het deze transacties initiëren zonder de tussenkomst van de slachtoffers.

Hoe worden kwaadaardige Android-apps meestal verspreid?

Kwaadaardige Android-apps worden doorgaans via verschillende methoden verspreid, waarbij vaak gebruik wordt gemaakt van misleidende tactieken om gebruikers te misleiden om ze te installeren. Enkele veel voorkomende distributiemethoden zijn:

App Stores van derden: Schadelijke apps kunnen worden gehost in appstores van derden buiten de officiële Google Play Store. Gebruikers kunnen worden gevraagd apps van deze niet-officiële bronnen te downloaden, waardoor het risico op malware toeneemt.

Phishingwebsites: Cybercriminelen creëren nepwebsites of advertenties die legitieme app-downloadpagina's nabootsen. Nietsvermoedende gebruikers kunnen naar deze phishing-sites worden geleid en onbewust kwaadaardige apps downloaden.

Malvertising: Schadelijke reclame, of malvertising, houdt in dat schadelijke code in online advertenties wordt geplaatst. Als u op deze advertenties klikt of gecompromitteerde websites bezoekt, kan dit leiden tot het automatisch downloaden en installeren van kwaadaardige apps.

E-mail en berichten: Schadelijke apps kunnen worden verspreid via phishing-e-mails of berichten met links om geïnfecteerde applicaties te downloaden. Deze berichten maken vaak gebruik van social engineering-technieken om gebruikers te misleiden om op de aangeboden links te klikken.

Sms en mms: Sommige malware wordt verspreid via sms-berichten of multimediaberichten met links om kwaadaardige apps te downloaden. Deze methode, bekend als 'smishing', heeft tot doel gebruikers te misleiden zodat ze schadelijke applicaties installeren.

Valse systeemupdates: Cybercriminelen kunnen valse systeemupdatemeldingen maken die gebruikers ertoe aanzetten updates buiten de officiële kanalen te downloaden en te installeren. Deze nep-updates bevatten vaak malware.

Geïnfecteerde websites: Het bezoeken van gecompromitteerde websites of het klikken op kwaadaardige links kan leiden tot het automatisch downloaden van schadelijke apps. Drive-by-downloads vinden plaats wanneer malware wordt gedownload zonder medeweten van de gebruiker tijdens een bezoek aan een besmette site.