Tin tặc nhắm mục tiêu vào các ngân hàng trên toàn cầu bằng phần mềm độc hại Android

Một tin tặc có nguồn gốc từ Mexico đã được liên kết với một chiến dịch phần mềm độc hại dành cho thiết bị di động Android nhắm mục tiêu vào các tổ chức tài chính trên toàn cầu, tập trung chủ yếu vào các ngân hàng Tây Ban Nha và Chile, từ tháng 6 năm 2021 đến tháng 4 năm 2023.

Theo nhà nghiên cứu bảo mật Pol Thill, hoạt động này được quy cho một tác nhân đe dọa được gọi là Neo_Net.

"Mặc dù sử dụng các công cụ tương đối đơn giản, Neo_Net đã đạt được tỷ lệ thành công khá cao bằng cách điều chỉnh cơ sở hạ tầng của mình cho phù hợp với các mục tiêu cụ thể, dẫn đến việc đánh cắp hơn 350.000 EUR từ tài khoản ngân hàng của nạn nhân và xâm phạm thông tin định danh cá nhân (PII) của hàng nghìn nạn nhân," Thill cho biết.

Một số mục tiêu chính bao gồm các ngân hàng như Santander, BBVA, CaixaBank, Deutsche Bank, Crédit Agricole và ING.

Neo_Net, được cho là một đối tượng nói tiếng Tây Ban Nha cư trú tại Mexico, tham gia vào việc bán các công cụ lừa đảo, xâm phạm dữ liệu nạn nhân cho bên thứ ba và cung cấp dịch vụ smishing có tên là Ankarex, được thiết kế để nhắm mục tiêu vào một số quốc gia trên toàn thế giới.

Cuộc tấn công nhiều giai đoạn bắt đầu với hoạt động lừa đảo qua tin nhắn SMS, trong đó kẻ đe dọa sử dụng nhiều chiến thuật khác nhau để lừa người nhận nhấp vào các trang web giả mạo nhằm thu thập và lấy cắp thông tin đăng nhập của họ.

“Các trang lừa đảo có giao diện gần giống với các ứng dụng ngân hàng chính hãng, được xây dựng bằng cách sử dụng công cụ của Neo_Net, PRIV8 và triển khai các biện pháp để ngăn cản việc bị phát hiện, bao gồm chặn các request được gửi từ các nguồn không phải thiết bị di động và che giấu nó khỏi các công cụ quét mạng”.

Ngoài ra, các tác nhân đe dọa cũng lừa người dùng của ngân hàng cài đặt các ứng dụng Android độc hại giả dạng phần mềm bảo mật. Sau khi được cài đặt, ứng dụng sẽ yêu cầu quyền SMS để lấy cắp mã xác thực hai yếu tố (2FA) dựa trên SMS do ngân hàng gửi.

Ankarex đã hoạt động từ tháng 5 năm 2022. Nó được quảng bá trên một kênh Telegram có khoảng 1.700 người đăng ký.

Thill cho biết: “Dịch vụ này có thể truy cập được tại ankarex[.]net và sau khi đăng ký, người dùng có thể nạp tiền bằng cách chuyển tiền điện tử và khởi chạy các chiến dịch Smishing với nội dung SMS và số điện thoại mục tiêu của riêng họ.

Sự phát triển diễn ra khi ThreatFabric trình bày chi tiết về một chiến dịch trojan ngân hàng Anatsa (hay còn gọi là TeaBot) nhắm mục tiêu đến những người dùng ngân hàng ở Mỹ, Vương quốc Anh, Đức, Áo và Thụy Sĩ kể từ đầu tháng 3 năm 2023.

Nguồn: thehackernews.com.