Troieni bancari Android au compromis aproape 18.000 de telefoane și au furat 7,6 milioane de SMS-uri în India

O campanie coordonată de malware Android care vizează clienții băncilor din India a compromis cel puțin 17.960 de dispozitive și a interceptat peste 7,6 milioane de mesaje text, inclusiv coduri de unică folosință și alerte de tranzacții. Activitatea este urmărită ca un cluster cu motivație financiară denumit CyberDakait, care combină apeluri telefonice de inginerie socială, site-uri de phishing cu temă bancară, aplicații troienizate și chiar minare de criptomonede pe telefonul victimei.

Ce s-a întâmplat

Operatorii s-au dat drept 11 bănci indiene și două programe guvernamentale. Schema începe de obicei cu un apel telefonic: cineva care pretinde că lucrează la banca victimei avertizează că un „plan de protecție a cardului de credit" a fost activat și va începe să genereze taxe dacă nu este anulat imediat. Apelantul trimite apoi un link, adesea pe WhatsApp, care ar duce la formularul de anulare.

Linkul deschide o pagină de phishing în stilul băncii, care livrează un APK Android găzduit în depozite publice GitHub. Odată instalată, aplicația afișează un ecran fals de actualizare Google Play și descarcă discret o a doua componentă. Cere utilizatorului să o excludă de la optimizarea bateriei ca să poată rula permanent în fundal, apoi îl conduce printr-o „anulare" în etape care colectează numere de card, date de expirare și coduri CVV, credențiale de internet banking, numere de identitate și chiar fotografii. Fiecare cerere pare încă un pas de verificare, ceea ce face fluxul convingător.

În culise, malware-ul redirecționează fiecare SMS primit către boți Telegram și back-end-uri Firebase controlate de atacatori, aproape în timp real. Numărul mesajelor interceptate a ajuns la exact 7.611.443. Bilanțul victimelor provine din două canale: aproximativ 2.400 de dispozitive unice observate prin notificările de instalare și încă circa 15.600 expuse printr-o infrastructură Firebase configurată greșit.

Activitatea împotriva sectorului financiar indian a fost observată din iulie 2025, iar plângerile victimelor merg înapoi până în ianuarie 2025. Conturile GitHub folosite pentru distribuție au fost între timp dezactivate.

Șapte familii de malware, un singur scenariu

În campanie au fost identificate șapte familii distincte de troieni: cyb3rx, appkjl, godz, d-passive, d-shine, GhostBat și tenxen. GhostGrab, văzut în campanii anterioare de furt bancar, s-a dovedit a fi o versiune mai veche a GhostBat, nu o a opta familie. Temele comune de phishing nu au fost suficiente pentru a pune toate mostrele în aceeași categorie; familiile diferă prin traficul de rețea, structurile bazelor de date, formatele mesajelor și gestionarea comenzilor.

Ce au în comun este setul de unelte: interceptarea și redirecționarea SMS-urilor, redirecționarea apelurilor și furtul de credențiale prin interfețe false convingătoare. Unele comunică prin Telegram, altele prin Firebase, altele prin servere web obișnuite.

Două detalii ies în evidență. În primul rând, a fost descoperită o aplicație Android de administrare care le permite operatorilor să gestioneze infecțiile cyb3rx de pe un telefon: pot răsfoi mesajele interceptate, extrage datele obținute prin phishing, gestiona dispozitivele, trimite SMS-uri, schimba regulile de redirecționare, activa redirecționarea apelurilor și rula coduri USSD personalizate. În al doilea rând, lanțul de infecție include o componentă numită d-miner, care instalează XMRig pentru a mina criptomonede pe dispozitivul victimei, folosind wake lock-uri, redare audio silențioasă și servicii în prim-plan ca să nu fie oprită de Android.

Există și indicii că dezvoltatorii GhostBat și-au scris și compilat malware-ul direct pe telefoane Android. Dacă toate familiile aparțin aceluiași operator rămâne neconfirmat: CyberDakait trebuie citit mai degrabă ca un cluster de comportamente de campanie care se suprapun, nu ca un singur grup dovedit.

De ce contează

SMS-ul rămâne coloana vertebrală a autentificării tranzacțiilor pentru multe bănci. Un troian care redirecționează silențios codurile de unică folosință, combinat cu date de card și de autentificare proaspăt furate prin phishing, le oferă infractorilor tot ce au nevoie pentru a aproba transferuri frauduloase în timp real. Documentele de identitate și fotografiile furate pregătesc victimele pentru tentative de impersonare mult după frauda inițială.

Campania arată și cât de jos a ajuns bariera de intrare: depozite gratuite de cod ca mecanism de distribuție a malware-ului, boți de mesagerie pentru consumatori ca infrastructură de comandă și control și o consolă de administrare pe telefon pentru operatori.

Ce este de făcut

Pentru persoane fizice:

• Nu instalați niciodată o aplicație bancară dintr-un link primit prin apel, SMS sau WhatsApp. Folosiți doar pagina oficială din magazinul de aplicații.
• Tratați orice apel nesolicitat despre un „plan de protecție" sau o „anulare" ca fraudă. Închideți și sunați la numărul tipărit pe card.
• Verificați ce aplicații au permisiuni pentru SMS și revocați tot ce nu are nevoie de ele.
• Dacă bănuiți o compromitere, contactați imediat banca pentru a bloca cardurile și conturile, apoi resetați dispozitivul la setările din fabrică.

Pentru bănci și fintech-uri:

• Urmăriți domeniile care imită brandul, construite în jurul unor cuvinte precum „protecție card" sau „anulare plan", și depozitele publice care distribuie APK-uri sub numele vostru.
• Împingeți clienții către autentificare în aplicație sau bazată pe hardware acolo unde este posibil și marcați tranzacțiile care urmează unui val de redirecționări de SMS sau schimbări de redirecționare a apelurilor.
• Supravegheați canalele underground și platformele de mesagerie pentru datele de card și credențialele clienților voștri scurse.

Campaniile de acest fel lasă urme în afara perimetrului vostru: mesaje interceptate, baze de carduri și credențiale tranzacționate pe canale Telegram și piețe din dark web. Serviciul de monitorizare Deep/Dark Web de la 4tify este construit tocmai pentru a depista din timp acest tip de expunere, astfel încât conturile compromise să poată fi blocate înainte ca frauda să se producă.