Kaspersky advarer: Nye Android-enheder leveres allerede inficerede

Kaspersky advarer om en tilbagevenden af bagdøre, der er forudinstalleret i firmwaren på nye Android-enheder, herunder Keenadu og flere varianter af Triada. I alt blokerede Kasperskys løsninger 14.059.465 mobilangreb i 2025, et gennemsnit på 1,17 millioner om måneden.

Dataene kommer fra Kaspersky Security Network (KSN), et globalt netværk til trusselsanalyse, der drives anonymt af brugere. Kaspersky specificerer, at deres statistiske metode er blevet opdateret siden 3. kvartal 2025, hvilket kan gøre tallene usammenlignelige med tidligere publikationer – med undtagelse af statistikker om installationspakker, som stadig beregnes ved hjælp af den oprindelige metode. De fremskridtstal, der præsenteres i udgiverens marketingkommunikation, kan derfor afvige fra dataene i den primære rapport.

Den primære funktion af mobilbank-trojanere er at stjæle loginoplysninger: identifikatorer til online banktjenester, elektroniske betalingssystemer og kreditkortoplysninger. Mens adware fortsat er den mest almindelige trussel målt på mængde – og tegner sig for 62% af alle opdagelser inden 2025 – oplever banktrojanere og spyware den mest markante vækst. For IT-chefer, der administrerer mobile enhedsflåder i virksomhedsmiljøer, repræsenterer konvergensen af det stigende antal varianter og udvidelsen af distributionsvektorer en målbar forringelse af angrebsfladen.

Mamont dominerer ranglisten, Coper gør stærke fremskridt

Mamont- og Creduz-familierne tegner sig for størstedelen af mængden: Mamont repræsenterer 49,8 % af de nyligt opdagede banktrojanerpakker og Creduz 22,5 %. I rangeringen af bankangreb indtager Mamont-varianter seks af de ti bedste placeringer, med dramatiske stigninger sammenlignet med 2024 for .da (+14,79 procentpoint) og .db (+13,29 point). Coper.c oplevede også betydelig vækst, fra 7,19 % til 9,65 % af angrebne brugere, og er angivet i regionale data som den dominerende stamme i Tyrkiet – distribueret via Hqwar-dropperen.

Stigningen til 255.090 unikke detekterede bankinstallationspakker bekræfter en variantbaseret distributionsstrategi. Produktion af et stort antal forskellige APK-filer giver cyberkriminelle mulighed for at overbelaste signaturbaserede detektionsmotorer og forlænge eksponeringsvinduet før neutralisering. Anton Kivva, leder af Malware Analysis Team hos Kaspersky, drager en direkte økonomisk konklusion: "I betragtning af stigningen i antallet af unikke ondsindede pakker kan vi konkludere, at disse angreb genererer betydelig profit for cyberkriminelle."“

Regionale data bekræfter, at stammer tilpasser sig lokale kontekster. I Indien dominerer Rewardsteal-varianter med over 90 geografiske koncentrationer af %, der målretter betalingsdata under dække af falske belønningsprogrammer. I Tyskland blev en proxy-trojaner skjult i en app, der efterlignede en rabattjeneste fra en national supermarkedskæde. I Brasilien omdirigerer Pylcasa-angribere til phishing- eller ulovlige spillesider.

Keenadu og Triada: bagdøre i firmware

Den sværeste trussel at neutralisere, som dokumenteret af Kaspersky 2025 distribueres ikke via applikationsvektorer, men integreres i firmwaren på Android-enheder, før de udgives. Triada-familien og Keenadu-bagdøren, der blev opdaget i 4. kvartal 2025, er dens mest aktive repræsentanter. Triada optræder tre gange i top 20 over mobil malware målt på antallet af angrebne brugere, inklusive en variant (.fe), der steg fra 0,04 % til 9,84 % mellem 2024 og 2025 – den største stigning i rangeringen.

Keenadu har en særlig aggressiv arkitektur. Den ondsindede kode injiceres i `libandroid_runtime.so`, kernebiblioteket i Android Java runtime-miljøet, hvilket giver den adgang til adresseområdet for enhver applikation, der kører på enheden. Dens ondsindede moduler downloades dynamisk og kan opdateres eksternt, hvilket giver den mulighed for at udvikle sig efter infektion uanset brugerinteraktion. Observerede handlinger omfatter manipulation af annoncevisninger, visning af bannere for andre applikationer og kapring af søgeforespørgsler – men dens faktiske funktionelle omfang er teoretisk ubegrænset.

Foranstaltningerne er strukturelt begrænsede. En fabriksnulstilling af enheder er ikke tilstrækkelig til at udrydde en bagdør, der er forudinstalleret i firmwaren. Den eneste dokumenterede metode involverer at kontrollere, om der er en tilgængelig firmwareopdatering fra producenten, efterfulgt af en fuldstændig analyse af den nye firmware for at sikre, at den ikke selv er kompromitteret – en procedure, der kræver en politik for styring af enhedslivscyklus, som få organisationer har for deres personlige enheder i en BYOD-kontekst.

For IT-teams er konvergensen af to forskellige vektorer – download-distribuerede trojanske heste og præinstallerede bagdøre – forsvarsstrategier. Traditionelle MDM-politikker, der fokuserer på at kontrollere programinstallationer og administrere operativsystemopdateringer, er effektive mod den første vektor, men ineffektive mod den anden. I denne sammenhæng bliver sporbarhed i hardwareforsyningskæden en vigtig del af endpoint-sikkerhedspolitikken.

Det stigende antal unikke APK'er forbundet med banktrojanere indikerer også, at detektionsløsninger, der udelukkende er afhængige af statiske signaturer, vil blive stadig mindre effektive. For CISO'er er mobile EDR-løsningers evne til at detektere unormal udførelsesadfærd – adgang til betalingsdata, opsnapping af OTP-koder, kommunikation med kommando- og kontrolservere – uanset variantsignaturen ved at blive den vigtigste differentiator, når de evaluerer deres mobile sikkerhedsværktøjer.