Контакты
Подписка 2025
ITSEC 2025
ITSEC 2025: Информационная и кибербезопасность России. Форум для ИБ-специалистов, ИТ-директоров, разработчиков и поставщиков решений
Регистрируйтесь и участвуйте 14-15 октября!

Банковский троян Crocodilus имитирует банки, казино и браузеры

04/06/25

images - 2025-06-04T133043.359

Банковский троян Crocodilus, впервые зафиксированный в марте 2025 года , стремительно выходит за пределы первоначальных мишеней и распространяется по Европе и Южной Америке. По данным отчёта компании ThreatFabri , вредоносное ПО стало технически сложнее, получило новые функции и активно используется в масштабных кампаниях, направленных на пользователей Android.

Изначально Crocodilus маскировался под приложения вроде Google Chrome и атаковал жителей Турции и Испании, используя накладные окна для кражи данных входа в банковские приложения, поясняет Securitylab. Однако теперь география вредоноса значительно расширилась: зафиксированы целевые атаки в Польше, Аргентине, Бразилии, Индии, Индонезии и США. При этом атаки в Турции и Испании продолжаются, но получили новые сценарии: в одном случае вредонос распространяется под видом обновления браузера, в другом — под видом онлайн-казино.

Особо выделяются кампании в Польше: здесь злоумышленники размещают поддельные объявления в социальной сети Facebook*, маскируясь под банки и известные интернет-магазины. Обманутых пользователей перенаправляют на вредоносный сайт, где им предлагают скачать приложение для получения бонусов. Фактически же загружается дроппер Crocodilus.

Одна из новых функций трояна — возможность добавления фальшивого контакта в адресную книгу заражённого устройства по команде «TRU9MMRHBCRO». Исследователи предполагают, что этот механизм нужен для обхода новой защиты Android, предупреждающей о возможном мошенничестве при запуске банковских приложений в режиме совместного экрана. Добавленный контакт с именем по типу «Поддержка банка» позволяет злоумышленникам звонить жертве и казаться легитимной службой, обходя при этом системы антифрода , которые распознают неизвестные номера.

Также в свежих версиях Crocodilus появилась функция автоматического сбора seed-фраз и приватных ключей от криптовалютных кошельков. Это реализовано через специальный парсер, способный извлекать такие данные из интерфейсов популярных кошельков, используя права на доступ к службам доступности Android. После захвата информации злоумышленники получают прямой доступ к криптоактивам жертвы.

Кроме того, вредонос теперь применяет усовершенствованные методы обфускации, что затрудняет его анализ и обнаружение антивирусными решениями. Всё это говорит о том, что Crocodilus не только активно поддерживается, но и быстро развивается, становясь всё более опасным. По мнению специалистов ThreatFabric, перед пользователями стоит уже не региональная, а мировая угроза.

* Meta и её продукты (включая Instagram, Facebook, Threads) признаны экстремистскими, их деятельность запрещена на территории РФ.

Темы:Банки и финансыПреступлениятрояныЮжная АмерикаThreatFabric
КИИ
14 октября на Форуме ITSEC 2025: Защищенный удаленный доступ. Технологии безопасной дистанционной работы
Выступить на конференции →
Статьи по темеСтатьи по теме

  • Как соответствовать требованиям ЦБ РФ при защите мобильных приложений
    Юрий Шабалин, Ведущий архитектор Swordfish Security
    Профиль защиты прикладного программного обеспечения – это методический документ Банка России, согласно которому приложения должны проходить оценку на соответствие госстандарту в специальных лабораториях.
  • Ключевые индикаторы риска: как ими правильно пользоваться
    Кирилл Чекудаев, ведущий консультант по информационной безопасности RTM Group
    Ключевые индикаторы риска (КИР) необходимо корректно определить, и на этом этапе, как показывает практика, у многих организаций финансового сектора возникают проблемы.
  • Кто зарабатывает на вэйлинге в России?
    Алексей Гусев, старший советник председателя правления банка “ЦентроКредит”, преподаватель РТУ РУДН и НИЯУ МИФИ
    Вэйлинг – специализированный и таргетированный вариант привычного фишинга, нацеленный на VIP-клиентов, относится к не столь распространенному и потому редко упоминаемому виду. Однако в последнее время хакеры начинают обращать на него внимание, а его методики используются в качестве базы для более сложного таргетированного фишинга.
  • Топ-8 ошибок соответствия ГОСТ 57580.1
    Константин Чмиль, консультант по ИБ RTM Group
    Регулятор вводит все новые положения, которые собраны в ГОСТ 57580.1 и ужесточаются год от года. Если постоянно проходить проверку на соответствие требованиям этого документа, то вероятность возникновения инцидентов можно свести к минимуму.
  • КиберНЕустойчивость и как с ней бороться
    Александр Пуха, начальник отдела аудита и консалтинга АМТ-ГРУП
    Определение показателей операционной надежности для технологических процессов
  • Кибербезопасность ЦВЦБ – цифровой валюты центрального банка
    Александр Подобных, Независимый эксперт по ИБ в SICP.ueba.su
    Если все планы реализуются, то с 1 апреля 2023 г. цифровой рубль должен появиться в экономическом пространстве

Участвуйте в проектах

редакции журнала
"Информационная безопасность" 

КАЛЕНДАРЬ МЕРОПРИЯТИЙ 2025
ПОСЕТИТЬ МЕРОПРИЯТИЯ
ВЫСТУПИТЬ НА КОНФЕРЕНЦИЯХ
СТАТЬ АВТОРОМ
ТБ Форум
Доверенные решения для защиты российских ОС на базе Linux и миграции
Выступить 14 октября →

Еще темы...

More...