Forscher von Cyfirma haben den Banktrojaner BankBot-YNRK identifiziert, der auf Geräte mit Android 13 und früher abzielt. Die Malware nutzt Schwachstellen in Barrierefreiheitsdiensten aus, um ohne ausdrückliche Zustimmung des Benutzers erweiterte Berechtigungen zu erhalten. Der Schwerpunkt liegt auf dem Diebstahl von Bankdaten und dem Zugriff auf Kryptowährungs-Wallets.
Der Schadcode initiiert kurz nach der Installation Umgebungsscans. Es erkennt Emulatoren, um eine Sandbox-Analyse zu vermeiden. Anschließend werden Modelle von Herstellern wie Samsung, Oppo und Google identifiziert. Diese Anpassung ermöglicht personalisierte Angriffe.
- Überprüft die reale oder emulierte Umgebung.
- Identifiziert einen bestimmten Hersteller und ein bestimmtes Modell.
- Passt Code für mehr Effektivität an.
Malware-Cloaking- und Persistenzmechanismen
BankBot-YNRK deaktiviert Benachrichtigungen von installierten Anwendungen. Es schaltet die Toneinstellungen stumm, um ohne Alarme zu arbeiten.
Der Trojaner verändert den JobScheduler von Android. Diese Modifikation gewährleistet ein automatisches Booten mit dem System. Es unterhält eine ständige Verbindung mit dem Befehls- und Kontrollserver.
Kriminelle senden Fernbefehle über C2. Sie simulieren Klingeltöne und installieren zusätzliche APKs. Die Malware exfiltriert Kontakte, SMS und den Gerätestandort.
Barrierefreiheitsuntersuchung für Administratorrechte
Der Befehl OPEN_ACCESSIBILITY reLeitet den Benutzer zum Einstellungsbildschirm weiter. Die Malware fordert die Aktivierung von Barrierefreiheitsdiensten an.
Mit den erworbenen Privilegien öffnet er regelmäßig Banking-Apps. Erfasst Bildschirme mit angezeigten sensiblen Daten.
Der Trojaner versucht, Seed-Phrasen aus Krypto-Wallets abzurufen. Es vermeidet Interaktionen mit biometrischen Daten, um die Erkennung zu minimieren. Wenn die Biometrie nicht konfiguriert ist, kommt es zu nicht autorisierten Transaktionen.
Ohne aktive Biometrie steigt das Diebstahlrisiko deutlich. Die Malware führt Übertragungen direkt durch.
Erweiterte Remote-Funktionen von BankBot-YNRK
Die Malware verwaltet APK-Installationen und -Deinstallationen. Es aktualisiert und öffnet Anwendungen auf Befehl.
Interagieren Sie mit der Benutzeroberfläche, indem Sie Gesten und Berührungen simulieren. Entsperrt den Bildschirm und navigiert durch Systemmenüs.
- Anrufe weiterleiten und SMS senden.
- Erfasst Fotos und blendet schwebende Fenster aus.
- Text in Formularfelder einfügen.
- Verwaltet Datei-Downloads und -Ausführungen.
BankBot-YNRK präsentiert sich als indische Regierungs-App. Diese Taktik umgeht anfängliche Überprüfungen bei APK-Installationen.
Es erscheint in bestimmten Paketen wie com.westpacb4a.payqingynrk1b4a. Andere umfassen com.westpacf78.payqingynrk1f78.
Präventionsmaßnahmen gegen Banking-Trojaner
Installieren Sie Apps nur aus dem Google Play Store. Vermeiden Sie unbekannte Quellen, um die Gefährdung durch bösartige APKs zu verringern.
Aktivieren Sie die zweistufige Verifizierung für Finanzkonten. Konfigurieren Sie biometrische Daten in digitalen Geldbörsen, um unbefugten Zugriff zu blockieren.
Halten Sie Ihr Android-System mit Sicherheitspatches auf dem neuesten Stand. Verwenden Sie zuverlässige Antivirenprogramme für regelmäßige Gerätescans.
