Cybercriminelen verspreiden malafide Android-apps onder Russische chauffeurs, gericht op het stelen van persoonlijke en financiële gegevens.
Cybercriminelen maken misbruik van de brandstoftekorten en de angst voor droneaanvallen in Rusland door gebruikers te verleiden tot het downloaden van kwaadaardige Android-apps. Deze apps zijn ontworpen om persoonlijke en financiële informatie te stelen, zo blijkt uit een rapport van het Russische cybersecuritybedrijf F6. De nieuwste campagne richt zich op Russische automobilisten met een app die beweert locaties van verkeerspolitie, flitspalen en tankstations met brandstofvoorraad te tonen. In werkelijkheid verspreidt deze app de ZloyRAT-trojan, die gevoelige informatie verzamelt en functies op geïnfecteerde telefoons kan aansturen.
Naast deze app worden ook twee andere nep-apps verspreid: GosuVPN, gepresenteerd als een gratis door de overheid ondersteunde VPN-dienst, en Drone Radar, die zogenaamd realtime droneaanvallen op een interactieve kaart toont. Alle drie de apps worden via een website gepromoot die begin oktober is geregistreerd. Onderzoekers hebben verzocht deze site in Rusland te blokkeren. De campagne speelt in op de huidige situatie in Rusland, waar brandstoftekorten en stijgende benzineprijzen heersen, mede veroorzaakt door herhaalde langeafstandsdrones en raketaanvallen van Oekraïne op Russische olieraffinaderijen.
Volgens F6 worden kwaadaardige apps die zich richten op chauffeurs vaak gepromoot in online gemeenschappen van vrachtwagenchauffeurs, taxichauffeurs en bezorgers. De ZloyRAT-malware, die eerder dit jaar werd geïdentificeerd, doet zich na installatie voor als een legitieme app en vraagt toestemming om toegang te krijgen tot sms-berichten, contacten en telefoongesprekken. De trojan kan binnenkomende sms-berichten en pushmeldingen verzamelen, berichten versturen en telefoongesprekken voeren vanaf het geïnfecteerde apparaat. Daarnaast richt ZloyRAT zich op gegevens van meer dan zestig Russische bank- en financiële apps, online marktplaatsen, overheidsdiensten en het Telegram-platform. Om detectie te bemoeilijken, kan de malware een legitieme website tonen wanneer gebruikers met de app interacteren, waardoor het lastiger wordt om de besmetting te herkennen. Geïnfecteerde telefoons kunnen ook trager gaan functioneren.
F6 heeft niet bekendgemaakt hoeveel mensen de apps hebben gedownload of of er bevestigde financiële schade is ontstaan. Deze campagne maakt deel uit van een bredere golf van cybercriminaliteit die inspeelt op de verstoringen door de oorlog in Rusland, met name de zorgen over droneaanvallen en brandstofbeschikbaarheid. Eerder dit jaar ontdekte F6 een andere Android-app, RadarTrevog, die zich voordeed als een dronewaarschuwingsdienst en de RedWing Stealer-malware verspreidde. Onderzoekers vonden meer dan 800 malwarevarianten verborgen in apps die werden gepresenteerd als dronewaarschuwingsdiensten, brandstofkaarten, VPN’s en andere mobiele tools. Daarnaast hebben brandstoftekorten geleid tot diverse online fraudepraktijken, waaronder minstens zeventien nepwebsites onder het merk FuelDrive voor bulkbrandstofleveringen en een operatie met een fictief bedrijf Toplivo24 dat brandstof aanbood tegen sterk verlaagde prijzen. Ook werden meer dan zestig frauduleuze websites geïdentificeerd die zich voordeden als tankstationkaarten en gericht waren op het kapen van Telegram-accounts. Een andere campagne bood chauffeurs de mogelijkheid om twintig liter benzine vooraf te reserveren om zo wachtrijen en tekorten te omzeilen.
