Kaspersky advarer: Nye Android-enheter sendes allerede infisert

Kaspersky advarer om en tilbakekomst av bakdører som er forhåndsinstallert i fastvaren til nye Android-enheter, inkludert Keenadu og flere varianter av Triada. Totalt blokkerte Kaspersky-løsninger 14 059 465 mobilangrep i 2025, et gjennomsnitt på 1,17 millioner per måned.

Dataene kommer fra Kaspersky Security Network (KSN), et globalt nettverk for trusselanalyse som drives anonymt av brukere. Kaspersky spesifiserer at deres statistiske metodikk har blitt oppdatert siden 3. kvartal 2025, noe som kan gjøre tallene usammenlignbare med tidligere publikasjoner – med unntak av statistikk om installasjonspakker, som fortsatt beregnes ved hjelp av den opprinnelige metodikken. Fremdriftstallene som presenteres i utgiverens markedsføringskommunikasjon kan derfor avvike fra dataene i hovedrapporten.

Hovedfunksjonen til trojanere for mobilbanktjenester er å stjele påloggingsinformasjon: identifikatorer for nettbanktjenester, elektroniske betalingssystemer og kredittkortdetaljer. Selv om reklameprogrammer fortsatt er den vanligste trusselen når det gjelder volum – og står for 62 % av alle oppdagelser innen 2025 – med banktrojanere og spionprogrammer den mest betydelige veksten. For IT-ledere som administrerer mobile enhetsflåter i bedriftsmiljøer, representerer konvergensen av det økende antallet varianter og utvidelsen av distribusjonsvektorer en målbar forverring av angrepsflaten.

Mamont dominerer rangeringen, Coper gjør sterke fremskritt

Mamont- og Creduz-familiene står for størstedelen av volumet: Mamont representerer 49,8 % av de nylig oppdagede banktrojanerpakkene og Creduz 22,5 %. I rangeringen av bankangrep inntar Mamont-varianter seks av de ti beste plasseringene, med dramatiske økninger sammenlignet med 2024 for .da (+14,79 prosentpoeng) og .db (+13,29 poeng). Coper.c opplevde også betydelig vekst, fra 7,19 % til 9,65 % av angrepne brukere, og er oppført i regionale data som den dominerende stammen i Tyrkia – distribuert via Hqwar-dropperen.

Økningen til 255 090 unike oppdagede bankinstallasjonspakker bekrefter en variantbasert distribusjonsstrategi. Å produsere et stort volum av distinkte APK-filer lar nettkriminelle overbelaste signaturbaserte deteksjonsmotorer og utvide eksponeringsvinduet før nøytralisering. Anton Kivva, leder for Malware Analysis Team hos Kaspersky, trekker en direkte økonomisk konklusjon: “Gitt økningen i antall unike skadelige pakker, kan vi konkludere med at disse angrepene genererer betydelig fortjeneste for nettkriminelle.”

Regionale data bekrefter at stammene tilpasser seg lokale kontekster. I India dominerer Rewardsteal-varianter, med over 90 geografiske konsentrasjoner av %, som retter seg mot betalingsdata under dekke av falske belønningsprogrammer. I Tyskland ble en proxy-trojaner skjult i en app som etterlignet en rabatttjeneste fra en nasjonal supermarkedkjede. I Brasil omdirigerer Pylcasa-angripere til phishing- eller ulovlige spillsider.

Keenadu og Triada: bakdører i fastvare

Den vanskeligste trusselen å nøytralisere, som dokumentert av Kaspersky 2025, distribueres ikke via applikasjonsvektorer, men integreres i fastvaren til Android-enheter før de lanseres. Triada-familien og Keenadu-bakdøren, oppdaget i fjerde kvartal 2025, er dens mest aktive representanter. Triada dukker opp tre ganger blant de 20 beste mobilskadevarene etter antall angrepne brukere, inkludert en variant (.fe) som økte fra 0,04 % til 9,84 % mellom 2024 og 2025 – den største økningen i rangeringen.

Keenadu har en spesielt aggressiv arkitektur. Den ondsinnede koden injiseres i `libandroid_runtime.so`, kjernebiblioteket i Android Java-kjøretidsmiljøet, slik at den får tilgang til adresserommet til ethvert program som kjører på enheten. De ondsinnede modulene lastes ned dynamisk og kan oppdateres eksternt, noe som gir den muligheten til å utvikle seg etter infeksjon uavhengig av brukerinteraksjon. Observerte handlinger inkluderer manipulering av annonsevisninger, visning av bannere for andre programmer og kapring av søk – men det faktiske funksjonelle omfanget er teoretisk ubegrenset.

Tiltakene er strukturelt begrensede. En fabrikkinnstilling av enheter er ikke tilstrekkelig for å fjerne en bakdør som er forhåndsinstallert i fastvaren. Den eneste dokumenterte metoden innebærer å se etter en tilgjengelig fastvareoppdatering fra produsenten, etterfulgt av en fullstendig analyse av den nye fastvaren for å sikre at den ikke i seg selv er kompromittert – en prosedyre som krever en policy for enhetslivssyklushåndtering som få organisasjoner har for sine personlige enheter i en BYOD-kontekst.

For IT-team er konvergensen av to forskjellige vektorer – nedlastingsdistribuerte trojanere og forhåndsinstallerte bakdører – forsvarsstrategier. Tradisjonelle MDM-policyer, som fokuserer på å kontrollere applikasjonsinstallasjoner og administrere operativsystemoppdateringer, er effektive mot den første vektoren, men ineffektive mot den andre. I denne sammenhengen blir sporbarhet i maskinvareforsyningskjeden en viktig del av sikkerhetspolicyen for endepunkter.

Det økende volumet av unike APK-er knyttet til banktrojanere indikerer også at deteksjonsløsninger som utelukkende er avhengige av statiske signaturer, vil bli stadig mindre effektive. For CISO-er er evnen til mobile EDR-løsninger til å oppdage unormal utførelsesatferd – tilgang til betalingsdata, avlytte OTP-koder, kommunisere med kommando- og kontrollservere – uavhengig av variantsignatur i ferd med å bli den viktigste differensieringsfaktoren når de evaluerer deres mobile sikkerhetsverktøy.