Kaspersky varnar: Nya Android-enheter levereras redan infekterade

Kaspersky varnar för en återkomst av bakdörrar som är förinstallerade i firmware på nya Android-enheter, inklusive Keenadu och flera varianter av Triada. Totalt blockerade Kasperskys lösningar 14 059 465 mobilattacker under 2025, ett genomsnitt på 1,17 miljoner per månad.

Uppgifterna kommer från Kaspersky Security Network (KSN), ett globalt nätverk för hotinformationsanalys som drivs anonymt av användare. Kaspersky specificerar att deras statistiska metod har uppdaterats sedan tredje kvartalet 2025, vilket kan göra siffrorna ojämförbara med tidigare publikationer – med undantag för statistik om installationspaket, som fortfarande beräknas med den ursprungliga metoden. De framstegssiffror som presenteras i utgivarens marknadsföringskommunikation kan därför skilja sig från uppgifterna i den primära rapporten.

Den primära funktionen för mobila banktrojaner är att stjäla inloggningsuppgifter: identifierare för onlinebanktjänster, elektroniska betalningssystem och kreditkortsuppgifter. Medan adware fortfarande är det vanligaste hotet sett till volym – och står för 62 % av alla upptäckter år 2025 – upplever banktrojaner och spionprogram den mest betydande tillväxten. För IT-chefer som hanterar mobila enhetsflottor i företagsmiljöer representerar konvergensen av det ökande antalet varianter och expansionen av distributionsvektorer en mätbar försämring av attackytan.

Mamont dominerar rankingen, Coper gör starka framsteg

Familjerna Mamont och Creduz står för majoriteten av volymen: Mamont representerar 49,8 % av de nyligen upptäckta banktrojanpaketen och Creduz 22,5 %. I rankningen av bankattacker upptar Mamont-varianter sex av de tio bästa positionerna, med dramatiska ökningar jämfört med 2024 för varianterna .da (+14,79 procentenheter) och .db (+13,29 poäng). Coper.c såg också en betydande tillväxt, från 7,19 % till 9,65 % av de attackerade användarna, och listas i regional data som den dominerande stammen i Turkiet – distribuerad via Hqwar-droppern.

Ökningen till 255 090 unika upptäckta bankinstallationspaket bekräftar en spridningsstrategi baserad på varianter. Att producera en stor volym av distinkta APK-filer gör det möjligt för cyberbrottslingar att överbelasta signaturbaserade detekteringsmotorer och förlänga exponeringsfönstret innan neutralisering. Anton Kivva, ansvarig för skadlig kodanalytikerteamet på Kaspersky, drar en direkt ekonomisk slutsats: “Med tanke på ökningen av antalet unika skadliga paket kan vi dra slutsatsen att dessa attacker genererar betydande vinster för cyberbrottslingar.”

Regionala data bekräftar att stammar anpassar sig till lokala sammanhang. I Indien dominerar Rewardsteal-varianter, med över 90 % geografisk koncentration, och riktar in sig på betalningsdata under täckmantel av falska belöningsprogram. I Tyskland gömdes en proxy-trojan i en app som härmade en rabatttjänst från en nationell stormarknadskedja. I Brasilien omdirigerar Pylcasa-angripare till nätfiskesidor eller illegala spelsajter.

Keenadu och Triada: bakdörrar i firmware

Det svåraste hotet att neutralisera, som dokumenterades av Kaspersky 2025, distribueras inte via applikationsvektorer utan integreras i Android-enheternas firmware innan de släpps. Triada-familjen och Keenadu-bakdörren, som upptäcktes under fjärde kvartalet 2025, är dess mest aktiva representanter. Triada förekommer tre gånger bland de 20 vanligaste mobila skadliga programmen sett till antalet attackerade användare, inklusive en variant (.fe) som ökade från 0,04 % till 9,84 % mellan 2024 och 2025 – den största ökningen i rankningen.

Keenadu har en särskilt aggressiv arkitektur. Den skadliga koden injiceras i `libandroid_runtime.so`, kärnbiblioteket i Android Java-runtime-miljön, vilket gör att den kan komma åt adressutrymmet för varje applikation som körs på enheten. Dess skadliga moduler laddas ner dynamiskt och kan uppdateras på distans, vilket ger den möjlighet att utvecklas efter infektion oberoende av användarinteraktion. Observerade åtgärder inkluderar manipulering av annonsvisningar, visning av banners för andra applikationer och kapning av sökfrågor – men dess faktiska funktionella omfattning är teoretiskt obegränsad.

Åtgärderna är strukturellt begränsade. En standardåterställning av enheter är otillräcklig för att utrota en bakdörr som är förinstallerad i den inbyggda programvaran. Den enda dokumenterade metoden innebär att söka efter en tillgänglig firmwareuppdatering från tillverkaren, följt av en fullständig analys av den nya firmware för att säkerställa att den inte själv är komprometterad – en procedur som förutsätter en policy för enhetslivscykelhantering som få organisationer har för sina personliga enheter i ett BYOD-sammanhang.

För IT-team komplicerar konvergensen av två distinkta vektorer – nedladdningsdistribuerade trojaner och förinstallerade bakdörrar – försvarsstrategier. Traditionella MDM-policyer, som fokuserar på att kontrollera applikationsinstallationer och hantera operativsystemuppdateringar, är effektiva mot den första vektorn men ineffektiva mot den andra. I detta sammanhang blir spårbarhet i hårdvaruleveranskedjan en viktig del av säkerhetspolicyn för slutpunkter.

Den ökande volymen unika APK-filer kopplade till banktrojaner indikerar också att detekteringslösningar som enbart förlitar sig på statiska signaturer kommer att bli allt mindre effektiva. För CISO:er blir mobila EDR-lösningars förmåga att upptäcka onormalt exekveringsbeteende – åtkomst till betalningsdata, avlyssning av OTP-koder, kommunikation med kommando- och kontrollservrar – oavsett variantens signatur, den viktigaste differentierande faktorn vid utvärdering av deras mobila säkerhetsverktyg.