Wcześniej nieznane złośliwe oprogramowanie na Androida o nazwie Klopatra stało się poważnym zagrożeniem dla użytkowników bankowości mobilnej — od marca 2025 r. zainfekowało ponad 3000 urządzeń w Hiszpanii i we Włoszech.
Jak działa Klopatra
Trojan, odkryty przez włoską firmę zajmującą się zapobieganiem oszustwom Cleafy, łączy zaawansowane taktyki, aby unikać wykrycia i maksymalizować skutki:
- Ukryty Virtual Network Computing (VNC): Daje atakującym zdalną kontrolę nad zainfekowanymi telefonami w czasie rzeczywistym.
- Dynamiczne ataki z nakładkami (overlay): Fałszywe ekrany logowania nakłaniają użytkowników do podania danych logowania do bankowości lub kryptowalut.
- Zaawansowana ochrona kodu: Wykorzystuje Virbox i biblioteki natywne do zaciemniania kodu, ochrony przed debugowaniem i kontroli integralności w czasie działania.
- Ukryte działanie: Opróżnia konta, wyświetlając czarny ekran, przez co telefon wygląda na wyłączony.
Atakujący odinstalowują też aplikacje antywirusowe, nadużywają usług ułatwień dostępu Androida i przechwytują kody PIN urządzeń, aby dokonywać oszustw.
Metoda dystrybucji
Klopatra rozprzestrzenia się za pośrednictwem aplikacji typu dropper podszywających się pod narzędzia do strumieniowania IPTV. Po instalacji dropper:
- Prosi o zgodę na instalację z nieznanych źródeł.
- Wdraża ładunek Klopatra za pomocą wbudowanego JSON Packera.
- Uzyskuje uprawnienia ułatwień dostępu, co umożliwia zdalne sterowanie i automatyzację oszustw.
Pirackie aplikacje IPTV są celowo używane jako przynęta, wykorzystując skłonność użytkowników do instalowania oprogramowania z niezaufanych źródeł.
Atrybucja i skutki
Dowody wskazują na turecką grupę cyberprzestępczą, która obsługuje Klopatrę jako prywatny botnet, a nie publiczną platformę malware-as-a-service.
- Od marca 2025 r. zidentyfikowano co najmniej 40 różnych wersji.
- Operatorzy wolą ataki w nocy, gdy ofiary śpią, a urządzenia się ładują, co zapewnia nieprzerwane próby oszustw.
Dlaczego Klopatra jest inna
Choć nie wynajduje mobilnego malware na nowo, Klopatra podnosi poprzeczkę, ponieważ:
- Stosuje zabezpieczenia klasy komercyjnej, rzadko spotykane w złośliwym oprogramowaniu na Androida.
- Łączy skrytość, trwałość i odporność w jednym pakiecie.
- Atakuje zarówno aplikacje finansowe, jak i kryptowalutowe.
Co mogą zrobić użytkownicy
- Unikaj pobierania aplikacji z nieoficjalnych źródeł.
- Dokładnie sprawdzaj uprawnienia przed instalacją.
- Korzystaj z mobilnych rozwiązań zabezpieczających i aktualizuj urządzenia z Androidem.
- Monitoruj konta pod kątem nietypowej aktywności, zwłaszcza w nocy.
Klopatra to kolejne przypomnienie, że bankowość mobilna jest głównym celem cyberprzestępców. Alcaeus pomaga organizacjom i użytkownikom bronić się przed takimi zagrożeniami dzięki zaawansowanemu monitorowaniu, wykrywaniu oszustw i strategiom bezpieczeństwa mobilnego.
