Mexikansk hackare sprider skadlig programvara för Android Banking
En cyberkriminell enhet med mexikanskt ursprung har identifierats som förövaren av en global Android-kampanj för skadlig programvara riktad mot finansinstitutioner. Kampanjen, som ägde rum mellan juni 2021 och april 2023, riktade sig specifikt till spanska och chilenska banker.
Säkerhetsforskaren Pol Thill har tillskrivit aktiviteten till en person som kallas Neo_Net. Forskningsresultaten publicerades av SentinelOne efter en gemensam Malware Research Challenge med vx-underground.
Trots att de använder relativt osofistikerade verktyg har Neo_Net nått en betydande framgångsnivå genom att anpassa sin infrastruktur för att rikta sig mot specifika institutioner. Detta tillvägagångssätt har resulterat i stöld av över 350 000 EUR från offrens bankkonton och kompromiss med personligt identifierbar information (PII) som tillhör tusentals individer, enligt Thill.
Framstående banker, inklusive Santander, BBVA, CaixaBank, Deutsche Bank, Crédit Agricole och ING, har varit bland de primära målen.
Neo_Net, som är förknippad med en spansktalande individ bosatt i Mexiko, har etablerat sig som en erfaren cyberkriminell. De ägnar sig åt försäljning av nätfiskepaneler och komprometterade offerdata till tredje part. Dessutom erbjuder de en tjänst som heter Ankarex, som fokuserar på smishing (SMS-nätfiske) och är utformad för att rikta in sig på flera länder över hela världen.
Attackvektor Börjar Med Smishing
Den inledande fasen av attacken involverar SMS-nätfiske, där hotaktören använder olika taktiker för att lura mottagarna att klicka på falska målsidor. Dessa sidor används för att samla in och extrahera referenser genom en Telegram-bot.
Thill förklarade att nätfiskesidorna som skapats av Neo_Net är noggrant utformade med deras paneler, PRIV8, och innehåller flera defensiva åtgärder. Dessa åtgärder inkluderar att blockera förfrågningar från icke-mobila användaragenter och dölja sidorna från bots och nätverksskannrar. Sidorna påminner mycket om legitima bankapplikationer, komplett med animationer för att skapa en övertygande fasad.
Hotaktörerna har också observerats lura bankkunder att installera bedrägliga Android-appar förklädda som säkerhetsprogramvara. När de väl har installerats begär dessa appar SMS-behörigheter för att fånga tvåfaktorsautentiseringskoder (2FA) som skickas av banken via SMS.
