Deze week delen beveiligingsonderzoekers informatie over nieuwe en aangepaste banking trojans die gebruikers wereldwijd aanvallen. Zulke malware is ontworpen om inloggegevens te verzamelen, gevoelige data te stelen en gecompromitteerde toestellen op afstand te besturen. Voor organisaties betekent dit: meer dan alleen verdachte apps—het gaat ook om lifeline naar fraude, omdat slachtoffers via phishing worden geleid naar misleidende schermen.
In de spotlights staan drie families: Manic (Android), Grandoreiro (Windows) en ToxicPanda 2.0 (Android). Hieronder lees je wat er is waargenomen, welke technieken opvallen, en hoe je je eigen weerbaarheid kunt verhogen.
Manic: Android-trojan met banking én spyware
ThreatFabric beschrijft Manic als een Android-malware die twee rollen combineert: een banking trojan en spyware. De dreiging is vooral gelinkt aan aanvallen op Oekraïne, waaronder banken, overheidsdiensten en messaging-apps. Toch is Manic ook gezien tegen instellingen in Rusland en delen van Europa, en tegen platformen rond crypto en fintech.
De verspreiding gebeurt volgens de rapportage via kwaadaardige websites en zogenaamde droppers. Zodra Manic op een toestel staat, kan de malware onder meer toetsaanslagen vastleggen, phishing-schermen tonen en het apparaat op afstand bedienen voor banking- en cryptocurrencyfraude.
Wat de situatie extra zwaar maakt, is dat Manic niet stopt bij “banking”. De spyware-component omvat functionaliteiten zoals het monitoren van meldingen, locatie-tracking, het verzamelen van bestanden en het observeren van het apparaat op afstand.
Offline mesh relay wanneer C2 niet bereikbaar is
Een opvallende eigenschap is de “offline mesh relay”. Daarmee kan verzamelde data via nabijgelegen besmette apparaten doorstromen via Wi‑Fi Direct of Bluetooth, ook wanneer directe toegang tot command-and-control (C2) ontbreekt. Met andere woorden: de malware probeert communicatie en datatransport niet te laten afhangen van één directe verbinding.
Grandoreiro blijft actief en schakelt om via legitieme software
Ook Grandoreiro is volgens de Acronis Threat Research Unit nog altijd aanwezig. De focus ligt met name op gebruikers in Latijns-Amerika, maar eerdere campagnes lieten ook targeting van Europa zien. In een recent observatieoverzicht bleek de grootste aantallen slachtoffers te vallen in Mexico.
Grandoreiro bestaat al geruime tijd—het gaat volgens Acronis om een Windows-trojan van Braziliaanse oorsprong die al ongeveer een decennium meegaat. Tegelijk blijft de malware evolueren, ondanks pogingen van wetshandhaving om de dreiging te verstoren.
Een concrete ontwikkeling zit in het misbruik van een legitieme applicatie: Duplicate Files Finder (DFF). Recentere samples zouden DFF inzetten om malafide code uit te voeren via DLL sideloading. Dit kan helpen om activiteiten te laten lijken op normale softwaregebruikspatronen, waardoor detectie lastiger wordt.
Anti-analyse als prioriteit
Volgens Acronis bevat het eerste deel van de aanval een uitgebreid anti-analysis pakket. Denk aan detectie van sandbox-omgevingen en virtuele machine-artifacts, plus procesblokkades en omgevingsprofilering. Het rapport benadrukt dat deze controles worden uitgevoerd voordat contact wordt gezocht met de C2-infrastructuur. Dat wijst erop dat het omzeilen van geautomatiseerde analyse sterk in de ontwerpkeuzes zit.
Voor defenders is dat relevant: “even kijken in een sandbox” kan te laat zijn of misleidende uitkomsten geven als de malware bij detectie niet doorzet. Daarom blijft snelle patching en sterke bronverificatie cruciaal—zeker wanneer legitieme software als camouflage wordt gebruikt.
ToxicPanda 2.0: meer commando’s, meer apps, en ADB-misbruik
Zimperium waarschuwt voor een bijgewerkte variant van ToxicPanda. Deze Android-banking trojan richt zich doorgaans vooral op Europa, maar Zimperium laat zien dat er in de nieuwste versie flinke uitbreidingen zijn doorgevoerd.
Een van de grootste wijzigingen is de schaal van controle en targeting. ToxicPanda 2.0 ondersteunt 167 remote commando’s en bevat een doelwitlijst met bijna 350 financiële toepassingen. In eerdere versies lag de focus volgens Zimperium rond slechts 16 apps.
De nieuwe campagne richt zich daarnaast op financiële instellingen in 16 landen, waaronder onder meer Pakistan, Zuid-Afrika, Mexico, Nigeria, India, Indonesië en Panama. Daarmee wordt de impact breder en complexer, omdat het niet om één regio of één set instellingen lijkt te draaien.
Automatisch klikken via ADB voor privilege-escalatie
ToxicPanda 2.0 introduceert bovendien een geautomatiseerd mechanisme dat werkt via Android Wireless Debugging (ADB). Dit zou de aanvallers in staat stellen om privilege escalation te realiseren en vervolgens shell-level toegang te verkrijgen op gecompromitteerde toestellen.
Voor wie ADB niet dagelijks beheert: het kernidee is dat de malware misbruik kan maken van debugfunctionaliteit om zichzelf meer rechten te geven. Dat maakt de aanval bruikbaar voor aanvullende actie op het apparaat—zoals het manipuleren van processen, het versterken van persistence of het klaarzetten van verdere fraudestappen.
Distributie via AWS-buckets
Ten slotte wijst Zimperium op een verschuiving in distributie. ToxicPanda 2.0-samples zouden worden geleverd vanuit Amazon AWS-hosted buckets. Dat betekent dat aanvallers cloud-infrastructuur benutten om malware sneller beschikbaar te maken of om distributie beter te kunnen faciliteren. Het is een reminder dat “de herkomst van de download” niet per se een duidelijke verdachte aanwijzing geeft.
Wat kun je hier als organisatie van leren?
Hoewel deze casussen vooral technisch van aard zijn, kun je er praktisch uit afleiden welke patronen terugkomen bij banking trojans. Je ziet steeds: misleiding richting financiële apps, controle op het toestel en mechanismen om analyse moeilijk te maken of om communicatie gaande te houden.
Hier zijn maatregelen die in de praktijk helpen, zonder dat je hoeft te gokken op één specifieke malwarefamilie:
- Versterk je mobiele authenticatie en monitoring: let op ongebruikelijke loginpatronen en fraudegerelateerde activiteiten, ook wanneer het toestel zelf “normaal” lijkt.
- Werk systemen en apps bij: aanvallen op banking gedrag profiteren vaak van zwakheden in ecosystemen, gebruikersinstellingen of kwetsbare appversies.
- Beperk en controleer debug-/ontwikkelfuncties op mobiele devices waar mogelijk, zeker als je een omgeving beheert met zakelijke toestellen.
- Train op phishing: trojans gebruiken misleidende schermen om credentials te oogsten. Snelle herkenning blijft een sterke verdedigingslaag.
- Onderzoek signalen van remote control: ongebruikelijke app-gedragingen, vreemde machtigingen en afwijkende netwerkcommunicatie kunnen indicaties geven.
Als je organisatie werkt met software supply chain of ontwikkelketens, is het daarnaast verstandig om te beseffen dat aanvallers steeds vaker meerdere sporen combineren—malware via softwarepaden, maar ook via misleiding van eindgebruikers. Voor context over hoe supply chain-aanvallen build-time malware mogelijk maken, lees ook Bron: https://www.securityweek.com/banking-trojans-manic-grandoreiro-toxicpanda-2-0-in-the-spotlight/
