Proofpoint: FluBot-malware verspreidt zich snel door Europa

proofpoint

Na een korte pauze begin maart 2021, die wordt toegeschreven aan arrestaties door de Spaanse autoriteiten, is de FluBot-malware weer terug van weggeweest. De malware verspreidt zich nu in rap tempo door verschillende Europese landen via sms-berichten. De meest recente slachtoffers zijn Android-gebruikers in het Verenigd Koninkrijk, Duitsland, Hongarije, Italië, Polen en Spanje. Dit blijkt uit onderzoek van Proofpoint en openbare informatie. De malware staat mogelijk op het punt om zich wereldwijd onder andere gebruikers te verspreiden.
 

Recente FluBot-activiteit

De cybercriminelen achter FluBot kijken inmiddels een stuk verder dan hun initiële doelwit Spanje. Dit land was oorspronkelijk verantwoordelijk voor het overgrote deel van de infecties sinds de ontdekking van de malware eind 2020. Aanvallen vinden nu vooral plaats in het VK, Duitsland, Hongarije, Italië, Polen en Spanje. Nieuwe doelwitten, waaronder de VS, zullen waarschijnlijk spoedig volgen.
 
Proofpoint heeft meer dan 700 unieke domeinen waargenomen alleen al in de Engelstalige aanvalscampagne. Proofpoint schat dat er momenteel ongeveer 7000 geïnfecteerde apparaten zijn die de Engelstalige campagne door het Verenigd Koninkrijk verspreiden. Het volume van de schadelijke SMS-berichten kan echter in de tienduizenden per uur lopen en sommige mobiele gebruikers hebben tot wel zes sms-berichten ontvangen met daarin de FluBot-link.
 
FluBot werkt nog steeds uitsluitend via SMS en heeft zich op dit moment nog niet via e-mail verspreid. De door Proofpoint geanalyseerde FluBot-versies hebben minimaal invloed op Android SDK-versie 7.0 en zijn gericht op Android SDK-versie 9.0.
 

SMS-phishing

Ongeacht de malware-versie of het lokmiddel begint elke FluBot-infectie met een potentieel slachtoffer dat een sms-bericht ontvangt waarin een bezorgdienst wordt geïmiteerd. De berichten hebben allen betrekking op informatie over een zogenaamde bezorging (afbeelding 1), zoals "FEDEX Uw pakket komt eraan, volg het hier" en bevatten links naar schadelijke sites. Als het slachtoffer de link volgt, wordt hij of zij gevraagd een schadelijke app te downloaden die, om de geloofwaardigheid te vergroten, het logo van de bezorgdienst als pictogram heeft. Daarnaast gebruikt deze app legitiem uitziende APK-bestanden (het app-bestandsformaat van Android) waarin FluBot verborgen zit.
 
 

Functionaliteit

Nadat de app is geïnstalleerd, is actie van de gebruiker vereist om de malware volledige toegang tot het apparaat te verschaffen via de Android Accessibility Service en Notification Access. Figuur 2 toont de reeks meldingen, met een nep FedEx-bericht als lokaas, waarmee het slachtoffer deze toegang verleent.
 
Zodra beide FluBot-versies toestemming hebben gekregen, werken ze zowel als spyware en sms-spammer. Bovendien kunnen de criminelen met de toegang creditcard- en bankgegevens stelen. De malware gebruikt de lijst met contactpersonen van het slachtoffer en via een SMS-phishing-bericht wordt vervolgens de verdere verspreiding van de malware via het apparaat van het slachtoffer voortgezet.
 
Een ander belangrijk onderdeel van de malware is dat hij overlays kan installeren voor verschillende bank-apps en Google Play. Wanneer de malware de creditcardgegevens van het slachtoffer heeft buitgemaakt, wordt het kaartnummer lokaal geverifieerd en vervolgens naar de cybercriminelen gestuurd voor verdere exploitatie.
 

Vooruitzicht

FluBot zal zich waarschijnlijk in hoog tempo blijven verspreiden, waarbij het zich methodisch van land naar land verplaatst. Zolang er gebruikers zijn die onverwachte sms-berichten vertrouwen en de instructies en aanwijzingen van de bedreigers opvolgen, zullen campagnes als deze succesvol zijn.
 
Om het risico om slachtoffer te worden van FluBot te verkleinen, raadt Proofpoint alle mobiele gebruikers aan om:
  • Op hun hoede te zijn voor onverwachte sms-berichten.
  • Alleen apps te installeren die afkomstig zijn van legitieme app stores
  • Goed te controleren of de gevraagde machtigingen logisch zijn wanneer nieuwe apps worden geïnstalleerd.
Lees ook
Trend Micro scoort 100% op attack visibility in laatste MITRE Engenuity ATT&CK Evaluations

Trend Micro scoort 100% op attack visibility in laatste MITRE Engenuity ATT&CK Evaluations

Trend Micro, leider in cyberbeveiliging, behaalt een perfecte score van 100% met zijn sterke dreigingsdetectieprestaties en hoge inzetsbeoordeling in het laatste MITRE Engenuity ATT&CK Evaluations-rapport voor managed services. Dit rapport geeft inzicht in het vermogen van een oplossing om aanvallen te detecteren.

Nederlandse bedrijven kennen de risico’s van AI-aangedreven cyberaanvallen, maar zijn er nog onvoldoende op voorbereid

Nederlandse bedrijven kennen de risico’s van AI-aangedreven cyberaanvallen, maar zijn er nog onvoldoende op voorbereid

IT- en securityleiders in Nederlandse organisaties zijn zich bovengemiddeld bewust van de gevaren van door kunstmatige intelligentie (AI) aangedreven cyberdreigingen, zo blijkt uit een nieuw onderzoek van Darktrace. Desondanks denkt een meerderheid dat hun organisatie onvoldoende is voorbereid

Belgische cybersecurityspeler Jarviss wil Nederlandse markt veroveren

Belgische cybersecurityspeler Jarviss wil Nederlandse markt veroveren

Jarviss, een van oorsprong Belgische netwerk -en cybersecurityspecialist, breidt uit naar Nederland. Het bedrijf opent een Nederlandse tak onder leiding van Sander Groot, die de rol van Managing Director opneemt voor Jarviss Nederland. In België beschikt Jarviss inmiddels over een sterk klantenportfolio met dank aan een uniek managed service-model1