-
16 oktober 2026 om 07:39 | person_outline 19
Android-malware GhostBat ontwikkelt zich en richt zich op Indiase financiële apps
GhostBat, een Android-malware, is geëvolueerd tot een geavanceerdere bedreiging die zich specifiek richt op gebruikers in India. De malware heeft het gemunt op gebruikers van ongeveer zestig Indiase bank-, UPI-, portemonnee-, fintech- en betaalapps.
De campagne begint met smishing, waarbij kwaadwillenden nepberichten versturen die zich voordoen als verkeersboetes of overheidsberichten, met links naar potentieel schadelijke bronnen. Deze links leiden gebruikers naar nagemaakte overheidswebsites, zoals die van mParivahan en eChallan, of naar schermen die de officiële Google Play Store nabootsen. Gebruikers worden vervolgens aangemoedigd om een APK-bestand te downloaden en te installeren buiten de officiële app store om. Deze kwaadaardige APK's worden ook verspreid via openbare GitHub-repositories.
Na installatie kan GhostBat gevoelige machtigingen aanvragen, waaronder toegang tot de Toegankelijkheidsdienst van Android. Hiermee kan de malware gebruikersactiviteiten binnen specifieke apps volgen en PIN-achtige invoer onderscheppen. GhostBat kan de Toegankelijkheidsdienst misbruiken om te bepalen welke app actief is en deze te vergelijken met een vooraf gedefinieerde lijst van financiële apps, om zo specifieke financiële transacties te targeten.
Een functie genaamd Ghost Overlay plaatst transparante gebieden over het numerieke toetsenbord van de echte betaalapp. Hierdoor kunnen gebruikers hun pincode invoeren op een transparant toetsenbord dat de invoer vastlegt zonder dat de gebruiker dit merkt. Deze functie richt zich specifiek op apps zoals Google Pay en MobiKwik. Naast Ghost Overlay kan GhostBat ook via Toegankelijkheidsgebeurtenissen en schermcontext PIN-achtige invoer vastleggen op een breed scala van ongeveer zestig verschillende Android-apps.
Naast het stelen van pincodes, kan GhostBat ook berichten verzamelen, zoals bankwaarschuwingen en eenmalige wachtwoorden (OTP's). Verder kan de malware oproeplogboeken, SIM-gegevens en externe SMS-activiteit rapporteren. De malware kan ook commando's uitvoeren van zijn beheerders en instellingen wijzigen.
De code voor de distributie van de malware vertoont variatie, met ten minste zes verschillende soorten 'loaders' of 'droppers' waargenomen, waaronder versleutelde APK-containers en dynamische downloads van payloads. Het meest recente sample maakt gebruik van een native bibliotheek genaamd libnetbridge.so en diverse encryptie- en compressietechnieken om de verborgen app te camoufleren voor basisscanners.
GhostBat maakt gebruik van Firebase Remote Config om de instellingen van de malware op afstand te wijzigen zonder dat er een nieuwe applicatie gedistribueerd hoeft te worden. Dit stelt beheerders in staat om de actieve backend of geselecteerde functies aan te passen, waardoor de command-and-control-adressen kunnen variëren.
Beveiligingsonderzoekers van Cyble volgen de activiteiten van GhostBat sinds oktober 2025. Zij hebben verbanden ontdekt tussen de malware, valse overheidsapps, phishingpagina's en een door de beheerder gecontroleerde backend. De mogelijkheid om PIN's vast te leggen, gecombineerd met nep-overheidsberichten en aanpasbare backend-instellingen, verhoogt het risico op financiële fraude aanzienlijk. De doelenlijst van GhostBat omvat zestig app-pakket-identifiers, waaronder bekende applicaties zoals Google Pay, PhonePe, Paytm, BHIM, SBI UPI, Axis Pay, BharatPe, CRED, Freecharge en PayZapp.
De campagne begint met smishing, waarbij kwaadwillenden nepberichten versturen die zich voordoen als verkeersboetes of overheidsberichten, met links naar potentieel schadelijke bronnen. Deze links leiden gebruikers naar nagemaakte overheidswebsites, zoals die van mParivahan en eChallan, of naar schermen die de officiële Google Play Store nabootsen. Gebruikers worden vervolgens aangemoedigd om een APK-bestand te downloaden en te installeren buiten de officiële app store om. Deze kwaadaardige APK's worden ook verspreid via openbare GitHub-repositories.
Na installatie kan GhostBat gevoelige machtigingen aanvragen, waaronder toegang tot de Toegankelijkheidsdienst van Android. Hiermee kan de malware gebruikersactiviteiten binnen specifieke apps volgen en PIN-achtige invoer onderscheppen. GhostBat kan de Toegankelijkheidsdienst misbruiken om te bepalen welke app actief is en deze te vergelijken met een vooraf gedefinieerde lijst van financiële apps, om zo specifieke financiële transacties te targeten.
Een functie genaamd Ghost Overlay plaatst transparante gebieden over het numerieke toetsenbord van de echte betaalapp. Hierdoor kunnen gebruikers hun pincode invoeren op een transparant toetsenbord dat de invoer vastlegt zonder dat de gebruiker dit merkt. Deze functie richt zich specifiek op apps zoals Google Pay en MobiKwik. Naast Ghost Overlay kan GhostBat ook via Toegankelijkheidsgebeurtenissen en schermcontext PIN-achtige invoer vastleggen op een breed scala van ongeveer zestig verschillende Android-apps.
Naast het stelen van pincodes, kan GhostBat ook berichten verzamelen, zoals bankwaarschuwingen en eenmalige wachtwoorden (OTP's). Verder kan de malware oproeplogboeken, SIM-gegevens en externe SMS-activiteit rapporteren. De malware kan ook commando's uitvoeren van zijn beheerders en instellingen wijzigen.
De code voor de distributie van de malware vertoont variatie, met ten minste zes verschillende soorten 'loaders' of 'droppers' waargenomen, waaronder versleutelde APK-containers en dynamische downloads van payloads. Het meest recente sample maakt gebruik van een native bibliotheek genaamd libnetbridge.so en diverse encryptie- en compressietechnieken om de verborgen app te camoufleren voor basisscanners.
GhostBat maakt gebruik van Firebase Remote Config om de instellingen van de malware op afstand te wijzigen zonder dat er een nieuwe applicatie gedistribueerd hoeft te worden. Dit stelt beheerders in staat om de actieve backend of geselecteerde functies aan te passen, waardoor de command-and-control-adressen kunnen variëren.
Beveiligingsonderzoekers van Cyble volgen de activiteiten van GhostBat sinds oktober 2025. Zij hebben verbanden ontdekt tussen de malware, valse overheidsapps, phishingpagina's en een door de beheerder gecontroleerde backend. De mogelijkheid om PIN's vast te leggen, gecombineerd met nep-overheidsberichten en aanpasbare backend-instellingen, verhoogt het risico op financiële fraude aanzienlijk. De doelenlijst van GhostBat omvat zestig app-pakket-identifiers, waaronder bekende applicaties zoals Google Pay, PhonePe, Paytm, BHIM, SBI UPI, Axis Pay, BharatPe, CRED, Freecharge en PayZapp.
Facts
1. De Android-malware GhostBat is geëvolueerd tot een geavanceerdere bedreiging die gericht is op gebruikers in India. De malware richt zich op gebruikers van ongeveer 60 Indiase bank-, UPI-, portemonnee-, fintech- en betaalapps.
2. De campagne begint met smishing, waarbij kwaadwillenden nepberichten sturen die zich voordoen als verkeersboetes of overheidsberichten. Deze berichten bevatten links naar mogelijk schadelijke bronnen.
3. De links leiden naar nep-overheidswebsites, zoals die van mParivahan en eChallan, of naar schermen die lijken op de officiële Google Play Store. Gebruikers worden aangemoedigd om een APK-bestand te downloaden en te installeren buiten de officiële app store om. Malafide APK's worden ook gedeeld via openbare GitHub-repositories.
4. Na installatie kan GhostBat gevoelige machtigingen aanvragen, waaronder toegang tot de Toegankelijkheidsdienst van Android. Dit stelt de malware in staat om gebruikersactiviteiten binnen specifieke apps te volgen en PIN-achtige invoer te onderscheppen.
5. GhostBat kan de Toegankelijkheidsdienst misbruiken om te bepalen welke app actief is en deze te vergelijken met een vooraf gedefinieerde lijst van financiële apps. Dit stelt de malware in staat om zich te richten op specifieke financiële transacties.
6. Een functie genaamd Ghost Overlay kan transparante gebieden over het numerieke toetsenbord van de echte betaalapp plaatsen, waardoor gebruikers hun pincode invoeren op een transparant toetsenbord dat de invoer vastlegt zonder dat de gebruiker dit merkt. Deze functie richt zich specifiek op apps als Google Pay en MobiKwik.
7. Naast de Ghost Overlay-functie kan GhostBat ook via Toegankelijkheidsgebeurtenissen en schermcontext PIN-achtige invoer vastleggen op een breed scala van ongeveer 60 verschillende Android-apps.
8. Naast het stelen van PIN-codes, kan GhostBat ook berichten verzamelen, waaronder bankwaarschuwingen en eenmalige wachtwoorden (OTP's), oproeplogboeken, SIM-gegevens en externe SMS-activiteit rapporteren. De malware kan ook commando's uitvoeren van zijn beheerders en instellingen wijzigen.
9. De code voor de distributie van de malware is gevarieerd, waarbij ten minste zes verschillende types van 'loaders' of 'droppers' zijn waargenomen, waaronder versleutelde APK-containers en dynamische downloads van payloads. Het nieuwste sample maakt gebruik van een native bibliotheek genaamd libnetbridge.so en verschillende encryptie- en compressietechnieken om de verborgen app te camoufleren voor basisscanners.
10. GhostBat gebruikt Firebase Remote Config om de instellingen van de malware op afstand te wijzigen zonder dat er een nieuwe applicatie gedistribueerd hoeft te worden. Dit maakt het voor beheerders mogelijk om de actieve backend of geselecteerde functies aan te passen, waardoor de command-and-control-adressen kunnen variëren.
11. De beveiligingsonderzoekers van Cyble volgen de activiteiten van GhostBat sinds oktober 2025 en hebben verbanden ontdekt tussen de malware, valse overheidsapps, phishingpagina's en een door de beheerder gecontroleerde backend. De mogelijkheid om PIN's vast te leggen, gecombineerd met nep-overheidsberichten en aanpasbare backend-instellingen, verhoogt het risico op financiële fraude aanzienlijk.
12. De doelenlijst van GhostBat omvat 60 app-pakket-identifiers, waaronder bekende applicaties zoals Google Pay, PhonePe, Paytm, BHIM, SBI UPI, Axis Pay, BharatPe, CRED, Freecharge en PayZapp.
Popup content goes here.
Nog geen account? Klik hier om te registreren!
Met een account heeft u de mogelijkheid om het gehele nieuwsoverzicht te bekijken en op ieder artikel een reactie-icoon te geven.
Met Newsfacts.info kunt u op de hoogte blijven van de laatste ontwikkelingen, zonder veel tijd te besteden aan het volgen van het nieuws. Ontdek vandaag nog de voordelen van Newsfacts.info!
Login
-
Gebruikersnaam
-
Wachtwoord