Aktivitas Malicious memanfaatkan aplikasi dropper Android yang terlihat tidak berbahaya di Google Play Store untuk menyusupi perangkat pengguna dengan malware perbankan.
17 aplikasi dropper ini dijuluki DawDropper oleh Trend Micro, menyamar sebagai aplikasi produktivitas dan utilitas seperti scanner dokumen, scanner kode QR, layanan VPN, dan perekam panggilan. Semua aplikasi tersebut telah dihapus dari PlayStore.
“DawDropper menggunakan Firebase Realtime Database, layanan cloud pihak ketiga, untuk menghindari deteksi dan secara dinamis mendapatkan alamat unduhan payload,” kata para peneliti. “Itu juga menampung muatan berbahaya di GitHub.”
Trend Micro Mobile Team
Droppers adalah aplikasi yang dirancang untuk menyelinap melewati pemeriksaan keamanan Google Play Store, setelah itu mereka digunakan untuk mengunduh malware yang lebih kuat.
Serangan beruntun yang melibatkan malware DawDropper membangun koneksi dengan Firebase Realtime Database untuk menerima URL GitHub yang diperlukan untuk mengunduh file APK berbahaya.
Malware Perbankan Android
Daftar aplikasi berbahaya yang sebelumnya tersedia dari app store ada di bawah –
- Call Recorder APK (com.caduta.aisevsk)
- Rooster VPN (com.vpntool.androidweb)
- Super Cleaner- hyper & smart (com.j2ca.callrecorder)
- Document Scanner – PDF Creator (com.codeword.docscann)
- Universal Saver Pro (com.virtualapps.universalsaver)
- Eagle photo editor (com.techmediapro.photoediting)
- Call recorder pro+ (com.chestudio.callrecorder)
- Extra Cleaner (com.casualplay.leadbro)
- Crypto Utils (com.utilsmycrypto.mainer)
- FixCleaner (com.cleaner.fixgate)
- Just In: Video Motion (com.olivia.openpuremind)
- com.myunique.sequencestore
- com.flowmysequto.yamer
- com.qaz.universalsaver
- Lucky Cleaner (com.luckyg.cleaner)
- Simpli Cleaner (com.scando.qukscanner)
- Unicc QR Scanner (com.qrdscannerratedx)
Octo juga diketahui menonaktifkan Google Play Protect dan menggunakan komputasi jaringan virtual (VNC) untuk merekam layar perangkat korban, termasuk informasi sensitif seperti kredensial perbankan, alamat email dan kata sandi, dan PIN, yang semuanya kemudian dieksfiltrasi ke server jarak jauh.
Sources:
Examining New DawDropper Banking Dropper and DaaS on the Dark Web (trendmicro.com)
Over a Dozen Android Apps on Google Play Store Caught… (thehackernews.com)
