Onderzoekers hebben Androidmalware ontdekt die menselijk typgedrag imiteert voor het plegen van bankfraude. De malware heeft de naam Herodotus gekregen en wordt verspreid via phishing en smishing, zo laat securitybedrijf ThreatFabric in een analyse weten. Slachtoffers ontvangen een sms-bericht met een link naar een APK-bestand dat zich voordoet als Google Chrome. In werkelijkheid is het een "dropper" die de uiteindelijke malware op de Androidtelefoon installeert.

Eenmaal actief wacht de Herodotus-malware totdat het slachtoffer een app opent, bijvoorbeeld van zijn bank, cryptobeurs of andere aanbieder. Vervolgens laat de malware boven de geopende app een phishingscherm zien dat de gebruiker om zijn inloggegevens vraagt. Ook kan de malware tweefactorauthenticatie (2FA)-codes uit sms-berichten stelen en voert Herodotus "Device-Takeover" fraude uit. Zo wordt op het besmette systeem een script uitgevoerd om vanaf de besmette Androidtelefoon allerlei frauduleuze acties uit te voeren, zoals het overmaken van geld van de bankrekening van het slachtoffer naar de rekening van een katvanger. Hiervoor worden automatisch allerlei elementen op het scherm geklikt, tekst ingevoerd en schermen geswipet.

Er zijn meerdere malware-exemplaren die "Device-Takeover" fraude uitvoeren. Wat de Herodotus-malware doet verschillen is het imiteren van menselijk typgedrag. In plaats van alle invoer die het script genereert meteen uit te voeren, hebben de ontwikkelaars willekeurige vertragingen voor de verschillende acties ingebouwd. Daardoor moet het voor fraudedetectiesystemen lijken alsof de acties door een mens worden uitgevoerd en niet door een script. Sommige detectiesystemen kijken namelijk naar de snelheid waarmee bepaalde acties in het systeem plaatsvinden.

Volgens ThreatFabric is de malware ingezet tegen Androidgebruikers in Italië en Brazilië. Daarnaast kan de malware phishingvensters tonen boven de applicaties van Amerikaanse, Britse, Turkse en Poolse banken, alsmede de apps van cryptowallets en cryptobeurzen. "Gegeven dat de malware nog steeds actief wordt ontwikkeld, kunnen we verwachten dat Herodotus zich verder ontwikkelt en op grote schaal wereldwijd zal worden ingezet", aldus de onderzoekers.