Malware-ul Android GhostBat fură PIN-uri direct din 60 de aplicații bancare și UPI reale

O nouă variantă a troianului Android GhostBat a depășit cu mult simplul furt de SMS-uri. Cercetătorii Cyble arată că aceasta monitorizează activitatea din 60 de aplicații indiene de banking, UPI, portofel digital și fintech și înregistrează PIN-ul în timp ce victima folosește aplicația autentică, fără nicio pagină de login falsă. Campania se răspândește prin mesaje false despre amenzi de circulație și servicii guvernamentale.

Ce s-a întâmplat

Cyble spune că urmărește GhostBat în India din octombrie 2025. Valul actual funcționează astfel:

• Momeala. Victimele primesc un SMS sau un mesaj pe chat care pare o amendă de circulație (challan) sau o notificare oficială. Linkul duce la o clonă a site-urilor mParivahan sau eChallan, ori la o pagină care imită Google Play. Victimele sunt îndemnate să instaleze manual un APK. Unele APK-uri malițioase erau găzduite și în depozite publice GitHub.
• Punctul de sprijin. După instalare, aplicația cere acces la Serviciul de Accesibilitate, plus permisiuni pentru SMS, jurnalul de apeluri și notificări. Dacă victima acordă accesul de Accesibilitate, malware-ul poate citi ecranul și interacționa cu alte aplicații.
• „Ghost Overlay”. Pentru Google Pay și MobiKwik, GhostBat plasează zone tactile invizibile peste tastatura PIN reală. Înregistrează fiecare cifră atinsă, apoi reproduce atingerile, astfel încât plata se desfășoară normal. Victima nu observă nimic neobișnuit.
• Captură PIN extinsă. Pentru restul celor ~60 de ținte (Cyble menționează printre ele PhonePe, Paytm, BHIM, SBI UPI, Axis Pay, BharatPe, CRED, Freecharge și PayZapp), folosește evenimentele de Accesibilitate și contextul ecranului pentru a detecta și captura date de tip PIN.
• Restul arsenalului. Malware-ul fură în continuare SMS-uri (inclusiv codurile OTP bancare), jurnale de apeluri și detalii despre SIM. Poate trimite SMS-uri de la distanță, poate controla redirecționarea apelurilor și primește comenzi de la operatori.

De ce e greu de detectat

Codul de livrare al GhostBat se schimbă constant. Cyble a numărat cel puțin șase tipuri de loader/dropper, inclusiv containere APK criptate, formate de payload proprii, încărcare DEX în memorie și descărcări de APK-uri la distanță. Cea mai nouă mostră își despachetează payload-ul printr-o bibliotecă nativă (libnetbridge.so) și mai multe straturi de criptare și compresie, suficient pentru a trece de scanerele de bază.

Operatorii folosesc și Firebase Remote Config pentru a schimba URL-urile backend și funcțiile fără a distribui un APK nou. Un domeniu C2 văzut într-o mostră poate deci să nu fie singurul folosit, așa că blocarea unui singur indicator nu este suficientă.

De ce contează

Sfatul obișnuit este „verifică dacă ești în aplicația reală înainte să introduci PIN-ul”. Aici sfatul nu ajută, pentru că victima chiar este în aplicația reală. Odată acordat accesul de Accesibilitate, atacatorul are practic acces la telefon. Cu PIN-ul, codurile OTP și controlul asupra SMS-urilor, operatorii au tot ce le trebuie pentru a aproba tranzacții frauduloase. Băncile și companiile fintech ar trebui să rețină și că momeala (servicii guvernamentale false) poate fi refolosită ușor împotriva altor branduri și regiuni.

Ce trebuie făcut

Pentru utilizatori

• Instalați aplicații doar din magazinul oficial. Nu instalați niciodată un APK primit prin SMS, WhatsApp sau printr-un link de tip „plătește amenda”.
• Fiți suspicioși cu orice aplicație care cere acces la Accesibilitate, SMS sau notificări. O aplicație pentru servicii auto sau plata amenzilor nu are niciun motiv legitim să ceară așa ceva.
• Verificați Setări → Accesibilitate și eliminați ce nu recunoașteți. Actualizați Android-ul și aplicațiile și păstrați Google Play Protect activ.
• Dacă bănuiți că telefonul este compromis, contactați imediat banca, schimbați PIN-ul UPI de pe un dispozitiv curat și luați în calcul o resetare din fabrică.

Pentru bănci, fintech și echipe de securitate

• Detectați la rulare abuzul de Accesibilitate și suprapunerile (overlay), de exemplu cu FLAG_SECURE, verificări anti-overlay/tapjacking și liste de servicii de Accesibilitate permise în fluxurile cu risc ridicat.
• Adăugați acești indicatori în platforma de threat intel, SIEM și soluția de mobile threat defence. Domeniile sunt dezactivate („defanged”) aici; reactivați-le doar în instrumente controlate:

• Monitorizați uzurparea serviciilor guvernamentale de transport și a propriului brand. Avertizați proactiv clienții despre smishing-ul pe tema amenzilor.

Credit: constatările tehnice din acest articol provin din cercetarea Cyble, așa cum a relatat Cyber Security News. Textul de față este rezumatul și analiza proprie 4Tify.