Flubot/Cabassous - trojan bankowy w natarciu, także w Polsce

Bitdefender zidentyfikował nową odmianę złośliwego oprogramowania Flubot atakującego smartfony z systemem operacyjnym Android. Napastnicy dystrybuują malware wysyłając do potencjalnych ofiar SMS-y. Flubot, znany też jako Cabassous, jest trojanem bankowym, który bardzo szybko rozprzestrzenia się w Niemczech, Hiszpanii, Włoszech czy Wielkiej Brytanii, ale również w Polsce. Cyberprzestępcy wykorzystują spam SMS do dostarczania złośliwego oprogramowania, imitującego popularne programy bankowe czy też firmy spedycyjne.

Flubot kradnie z zainfekowanych smartfonów dane bankowe, kontaktowe czy wiadomości tekstowe. Ponadto dysponuje arsenałem poleceń, w tym możliwością wysyłania SMS-ów z treścią dostarczoną przez serwery Command & Control. Systemy telemetryczne Bitdefendera wykryły ponad 100 różnych domen wykorzystywanych w kampanii do hostowania fałszywych plików APK (Android Package Kit). Domeny należą do przejętych stron, do których cyberprzestępcy wstawili złośliwe oprogramowanie w celu dalszego rozprzestrzeniania się ataków. W wielu przypadkach są to legalne witryny i domeny, aczkolwiek luki występujące w ich zabezpieczeniach pozwoliły umieścić na nich linki służące do pobierania trojana.

Flubot na Androida – analiza Bitdefender

Z analizy Bitdefendera wynika, że atakujący używają szablonów modyfikując jedynie nazwę odbiorcy i link do pobrania. Szkodnik kradnie prawdziwe nazwiska kontaktów i numery telefonów z telefonu ofiary i wysyła je na serwery hostowane przez cyberprzestępców. Następnie serwer komponuje wiadomość SMS, wykorzystując te prawdziwe informacje i odsyła je z powrotem do swojego oprogramowania na zainfekowanych telefonach. Następnie Flubot wysyła wiadomości SMS bezpośrednio z urządzenia ofiary.

Podobnie jak w przypadku innego trojana Teabota, operatorzy Flubot biorą na cel banki oraz ich aplikacje. Jednak lista atakowanych programów może zmienić się w dowolnym momencie. W ostatnim czasie Flubot imituje m.in takie aplikacje jak DHL Expres Mobile, FedEx Mobile czy Correos. Wśród kilku wersji językowych SMS-a istnieje również polska – Dostawa nowej przesyłki: http://thejoblessemperor[.]in/pkg/?6bh4l5qy.