Datzbro Banking-Trojaner

Cybersicherheitsforscher haben kürzlich einen bislang undokumentierten Android-Banking-Trojaner namens Datzbro entdeckt, der für Device-Takeover-Angriffe (DTO) und betrügerische Finanztransaktionen konzipiert ist. Die Schadsoftware zielt vor allem auf ältere Nutzer ab und missbraucht deren Vertrauen durch Social-Engineering-Kampagnen in sozialen Medien.

Social Engineering über Facebook-Gruppen

Die Kampagne wurde erstmals im August 2025 nach Berichten australischer Nutzer entdeckt. Die Angreifer verwalteten Facebook-Gruppen, die „aktive Seniorenreisen“ bewarben und sich an ältere Menschen richteten, die an sozialen Aktivitäten, Veranstaltungen und persönlichen Treffen interessiert waren. Weitere betroffene Regionen sind Singapur, Malaysia, Kanada, Südafrika und Großbritannien.

Diese Facebook-Gruppen teilen häufig KI-generierte Inhalte und geben vor, Veranstaltungen für Senioren zu organisieren. Zeigt ein Ziel Interesse, kontaktieren die Angreifer es über Facebook Messenger oder WhatsApp und fordern es auf, eine APK-Datei über einen betrügerischen Link (z. B. download.seniorgroupapps.com) herunterzuladen.

Die gefälschten Websites werben für eine sogenannte Community-Anwendung und behaupten, dass diese Senioren Folgendes ermöglichen würde:

• Registrieren Sie sich für Veranstaltungen und Aktivitäten.
• Verbinden Sie sich mit anderen Gruppenmitgliedern.
• Verfolgen Sie bevorstehende Termine.

Einige Websites enthalten sogar Platzhalter-Links für eine iOS-App. Dies lässt darauf schließen, dass die Angreifer sowohl Android- als auch iOS-Benutzer ins Visier nehmen und TestFlight-Apps für iOS verteilen, um ihre Opfer auszutricksen.

Wie Datzbro Geräte infiziert

Wenn ein Opfer die Android-App herunterlädt, geschieht Folgendes:

• Installiert die Malware direkt auf dem Gerät oder
• Stellt einen mit Zombinder erstellten Dropper bereit, einem APK-Bindungsdienst, der Sicherheitsbeschränkungen unter Android 13 und höher umgeht.

Es wurden mehrere bösartige Apps identifiziert, die Datzbro verbreiten, darunter:

• Seniorengruppe (twzlibwr.rlrkvsdw.bcfwgozi)
• Lebhafte Jahre (orgLivelyYears.browses646)
• ActiveSenior (com.forest481.security)
• DanceWave (inedpnok.kfxuvnie.mggfqzhl)

Fähigkeiten und finanzielle Bedrohungen

Datzbro verfügt über eine breite Palette von Spyware- und Finanzbetrugsfunktionen, darunter:

• Audio aufnehmen und Fotos machen.
• Zugriff auf Dateien und Fotos.
• Durchführen von Overlay-Angriffen, Keylogging und Remote-Gerätesteuerung.
• Verwenden von Android-Zugriffsdiensten, um automatisierte Aktionen im Namen des Opfers auszuführen.

Ein besonderes Feature ist der schematische Fernsteuerungsmodus, der den Angreifern detaillierte Informationen über alle Bildschirmelemente, ihre Position und ihren Inhalt übermittelt. So können sie die Benutzeroberfläche replizieren und das Gerät vollständig fernsteuern.

Darüber hinaus kann Datzbro:

• Zeigen Sie halbtransparente Überlagerungen mit benutzerdefiniertem Text an, um böswillige Aktivitäten zu verbergen.
• Stehlen Sie PINs und Passwörter für den Sperrbildschirm von Geräten für Alipay und WeChat.
• Scannen Sie die Ereignisprotokolle für die Barrierefreiheit von Banking- oder Kryptowährungs-Wallet-Apps und extrahieren Sie Anmeldeinformationen.

Diese Funktionen unterstreichen den Fokus der Malware auf finanziellen Gewinn und verwandeln die anfängliche Spyware in eine ausgeklügelte Bedrohung für den Diebstahl vertraulicher Bankdaten.

Attributions- und Command-and-Control-Infrastruktur

Analysen deuten darauf hin, dass Datzbro mit einer chinesischsprachigen Bedrohungsgruppe in Verbindung steht, wie chinesische Debugging- und Logging-Strings im Quellcode der Malware belegen. Im Gegensatz zu vielen Malware-Familien, die auf webbasierten C2-Panels basieren, verbindet sich Datzbro für Command-and-Control-Operationen mit einer chinesischsprachigen Desktop-Anwendung.

Eine kompilierte Version dieser C2-App ist in ein öffentliches Viren-Repository gelangt, was darauf hindeutet, dass die Malware nun möglicherweise frei unter Cyberkriminellen verbreitet wird, was ihre potenzielle Reichweite erhöht.

Auswirkungen auf die mobile Sicherheit

Die Entdeckung von Datzbro veranschaulicht die Entwicklung mobiler Bedrohungen, insbesondere solcher, die Social Engineering ausnutzen, um gefährdete Bevölkerungsgruppen anzugreifen. Indem sie sich auf Senioren konzentrieren und scheinbar harmlose Facebook-Ereignisse ausnutzen, können Angreifer eine einfache soziale Interaktion zu Geräteübernahme, Diebstahl von Anmeldeinformationen und Finanzbetrug ausweiten.

Diese Kampagne unterstreicht die Bedeutung von Wachsamkeit in Bezug auf die mobile Sicherheit, insbesondere für ältere Benutzer, die über vertrauensbasierte soziale Netzwerke ins Visier genommen werden könnten.