Flubot kradnie z zainfekowanych smartfonów dane bankowe, kontaktowe czy wiadomości tekstowe. Ponadto dysponuje arsenałem poleceń, w tym możliwością wysyłania SMS-ów z treścią dostarczoną przez serwery Command & Control. Systemy telemetryczne Bitdefendera wykryły ponad 100 różnych domen wykorzystywanych w kampanii do hostowania fałszywych plików APK (Android Package Kit). Domeny należą do przejętych stron, do których cyberprzestępcy wstawili złośliwe oprogramowanie w celu dalszego rozprzestrzeniania się ataków. W wielu przypadkach są to legalne witryny i domeny, aczkolwiek luki występujące w ich zabezpieczeniach pozwoliły umieścić na nich linki służące do pobierania trojana.
Flubot na Androida – analiza Bitdefender
Z analizy Bitdefendera wynika, że atakujący używają szablonów modyfikując jedynie nazwę odbiorcy i link do pobrania. Szkodnik kradnie prawdziwe nazwiska kontaktów i numery telefonów z telefonu ofiary i wysyła je na serwery hostowane przez cyberprzestępców. Następnie serwer komponuje wiadomość SMS, wykorzystując te prawdziwe informacje i odsyła je z powrotem do swojego oprogramowania na zainfekowanych telefonach. Następnie Flubot wysyła wiadomości SMS bezpośrednio z urządzenia ofiary.
Podobnie jak w przypadku innego trojana Teabota, operatorzy Flubot biorą na cel banki oraz ich aplikacje. Jednak lista atakowanych programów może zmienić się w dowolnym momencie. W ostatnim czasie Flubot imituje m.in takie aplikacje jak DHL Expres Mobile, FedEx Mobile czy Correos. Wśród kilku wersji językowych SMS-a istnieje również polska – Dostawa nowej przesyłki: http://thejoblessemperor[.]in/pkg/?6bh4l5qy.