PixPirate Banking Trojan richt zich op Android-apparaten

De operators van de PixPirate Android-banktrojan hebben een nieuwe tactiek aangenomen om detectie op besmette apparaten te omzeilen en gevoelige gegevens van gebruikers in Brazilië te verzamelen. Volgens het recente technische rapport van IBM houdt deze methode in dat het pictogram van de kwaadaardige app op het startscherm van het apparaat van het slachtoffer wordt verborgen.

Beveiligingsonderzoeker Nir Somech legde uit dat deze aanpak ervoor zorgt dat slachtoffers niet op de hoogte blijven van de kwaadaardige activiteiten die door de malware op de achtergrond worden uitgevoerd tijdens verkennings- en aanvalsfasen.

PixPirate, aanvankelijk geïdentificeerd door Cleafy in februari 2023, is berucht vanwege het exploiteren van de toegankelijkheidsdiensten van Android om ongeautoriseerde geldoverboekingen uit te voeren via het PIX-platform voor directe betaling wanneer gebruikers toegang krijgen tot gerichte bank-apps.

Deze malware, die voortdurend muteert, kan ook inloggegevens voor online bankieren en creditcardgegevens stelen, sms-berichten onderscheppen en toetsaanslagen vastleggen om toegang te krijgen tot tweefactorauthenticatiecodes.

PixPirate verspreidt zich via teksten en sociale apps

De typische distributiemethode omvat sms en WhatsApp, waarbij een dropper-app de inzet van de belangrijkste lading voor financiële fraude vergemakkelijkt. Somech verduidelijkte dat in het geval van PixPirate de downloader niet alleen de payload installeert, maar deze ook uitvoert, waarbij hij een actieve rol speelt in de kwaadaardige activiteiten door te communiceren met de belangrijkste payload en opdrachten uit te voeren.

De downloader vraagt gebruikers om de app bij te werken, waarbij de PixPirate-component wordt opgehaald van een server die wordt beheerd door de bedreigingsacteur of wordt geïnstalleerd als deze in zichzelf is ingebed. Opvallend is dat de nieuwste versie van de hoofdpayload niet langer activiteit bevat voor het starten van de app vanaf het startscherm door op het pictogram te tikken. Dit betekent dat zowel de downloader als de hoofdpayload moeten samenwerken, waarbij de downloader zich moet binden aan een service die door de hoofdpayload wordt geëxporteerd om de PixPirate APK uit te voeren.