ERMAC V3.0 Banking Trojan

Cybersecurityonderzoekers hebben ERMAC 3.0, de nieuwste versie van een Android banking trojan, geanalyseerd en zowel geavanceerde mogelijkheden als kritieke zwakheden in de infrastructuur van de operators onthuld. Deze malware is een belangrijke stap voorwaarts in de dreiging van mobiel bankieren en is gericht op een breed scala aan financiële en digitale platforms.

Van Cerberus naar ERMAC 3.0: een kwaadaardige evolutie

ERMAC, voor het eerst gedocumenteerd in september 2021, vindt zijn oorsprong in de beruchte Cerberus- en BlackRock-families. De malware wordt toegeschreven aan een dreigingsactor genaamd DukeEugene en heeft zich gestaag ontwikkeld van vroege overlay-aanvallen tot een geavanceerde malware-as-a-service (MaaS)-operatie.

ERMAC 3.0 bedreigt nu meer dan 700 applicaties, waaronder bank-, winkel- en cryptovalutadiensten. Andere malwarevarianten, zoals Hook (ERMAC 2.0), Pegasus en Loot, delen eenzelfde stamboom als ERMAC en lenen en wijzigen codecomponenten die in opeenvolgende versies zijn doorgegeven.

De malware-toolkit ontleden

Onderzoekers hebben de volledige broncode van ERMAC 3.0 blootgelegd en daarmee de modulaire structuur ervan blootgelegd. De toolkit bestaat uit verschillende onderling verbonden componenten, die elk een cruciale rol spelen bij het uitvoeren van grootschalige cybercriminaliteitscampagnes:

Backend C2 Server – Hiermee kunnen aanvallers geïnfecteerde apparaten beheren, sms-logs, gestolen inloggegevens en apparaatgegevens ophalen.

Frontend-paneel – Biedt een gebruikersinterface om opdrachten te geven, overlays te implementeren en aangetaste informatie te bekijken.

Exfiltration Server – Een Golang-server speciaal voor gegevensdiefstal en beheer van gecompromitteerde apparaten.

ERMAC Backdoor – Een op Kotlin gebaseerd Android-implantaat dat apparaten in GOS-landen op afstand kan besturen, gegevens kan verzamelen en kan ontwijken.

ERMAC Builder – Een configuratietool die het maken van schadelijke APK's automatiseert door serverdetails en backdoor-parameters aan te passen.

Nieuwe functies in ERMAC 3.0

De derde generatie Trojan introduceert een aantal verbeteringen ten opzichte van zijn voorgangers, waaronder:

• Uitgebreide technieken voor het injecteren van formulieren tegen diefstal van inloggegevens.
• Een opnieuw ontworpen Command-and-Control (C2)-paneel voor gestroomlijnde handelingen.
• Een nieuwe Android-achterdeur met verbeterde functies voor apparaatmanipulatie.

• Veilige communicatie via AES-CBC-encryptie.

Scheuren in de criminele infrastructuur

Ondanks de verbeterde mogelijkheden kampt ERMAC 3.0 met ernstige operationele misstappen. Onderzoekers ontdekten kwetsbaarheden, waaronder een hardgecodeerd JWT-geheim, een statisch admin-token, standaard root-referenties en zelfs onbeperkte registratie op het admin-dashboard. Deze zwakke punten benadrukken niet alleen de gebrekkige beveiligingshygiëne van de beheerders, maar bieden ook waardevolle toegangspunten voor verdedigers die de activiteiten van de trojan in echte campagnes willen monitoren, detecteren en verstoren.

Veilig blijven tegen mobiele bedreigingen

De onthulling van de interne werking van ERMAC 3.0 herinnert ons aan de toenemende verfijning van Android banking trojans. Hoewel cybercriminelen hun tools blijven verfijnen, kunnen hun fouten nog steeds in het voordeel van beveiligingsteams worden uitgebuit. Voor dagelijkse gebruikers blijft waakzaamheid de meest effectieve verdedigingslinie. Het installeren van applicaties van vertrouwde bronnen, het up-to-date houden van apparaten met de nieuwste beveiligingspatches en het vermijden van verdachte links of bijlagen zijn allemaal cruciale praktijken. Door voorzichtig en proactief te blijven, kunnen gebruikers hun risico om slachtoffer te worden van bedreigingen zoals ERMAC 3.0 aanzienlijk verkleinen.