Hackare använder en falsk Google Play-butik för att bryta kryptovaluta och stjäla pengar

Traders Union
Alla nyheter
Kryptovalutor
Hackare använder falska Google Play

Alla nyheter

Toppnyheter

Redaktörernas val

Kryptovalutor

Finansiella nyheter

Valutor

Nyheter från branschledare

Företag

Tillsynsmyndigheter

Centralbanker

Sergey Shendetskyi

22.03.2026

Hackare använder en falsk Google Play-butik för att bryta kryptovaluta och stjäla pengar — Android-användare utsätts för falska appar

En ny skadlig kampanj riktad mot Android-användare har upptäckts i Brasilien. Angripare döljer phishing-sidor som den officiella Google Play Store och distribuerar appar som, när de väl har installerats, används för hemlig gruvdrift av kryptovaluta och stöld av pengar.

Denna artikel har översatts från originalet. Läs originalversionen av vår korrespondent här.

Enligt Cryptopolitan kombinerar attacken social ingenjörskonst med tekniskt sofistikerade metoder, vilket gör den svår att upptäcka även för erfarna användare.

Hur attacken fungerar

Som SecureList noterar börjar kampanjen med en phishing-webbplats som nära efterliknar Google Play-gränssnittet. Användarna uppmanas att ladda ner en app som heter INSS Reembolso, som påstås vara kopplad till Brasiliens sociala säkerhetssystem.

När den är installerad distribueras den skadliga programvaran i steg: den laddar först ner krypterade komponenter och kör sedan den huvudsakliga nyttolasten direkt i enhetens minne. Detta tillvägagångssätt lämnar inga synliga filer, vilket håller aktiviteten dold för användaren.

Den skadliga programvaran kontrollerar också om den körs i en emulerad miljö och stängs av om analys upptäcks. När enheten anses vara "säker" laddar den ytterligare moduler, inklusive en XMRig-baserad gruvarbetare anpassad för ARM-enheter. Detta ansluter smarttelefonen till angriparkontrollerad infrastruktur och bryter kryptovaluta i bakgrunden.

För att förbli oupptäckt övervakar programmet enhetsförhållanden som batterinivå, temperatur och användaraktivitet och aktiverar gruvdrift endast under lämpliga förhållanden. Det kringgår också Android-begränsningar genom att spela upp en nästan ohörbar ljudfil för att simulera appaktivitet.

Stöld och fjärråtkomst

Den skadliga programvarans funktioner går utöver gruvdrift. I vissa fall installerar den en banktrojan som riktar sig till Binance- och Trust Wallet-användare, särskilt under USDT-transaktioner.

Den skadliga koden lägger falska gränssnitt ovanpå legitima appar och ersätter plånboksadresser i tysthet. Som ett resultat omdirigeras medel utan att användaren märker det.

Dessutom kan infekterade enheter användas för att spela in ljud, ta skärmdumpar, skicka SMS och logga användaraktivitet. Kommando och kontroll hanteras via Firebase Cloud Messaging - en legitim Google-tjänst - vilket gör det svårare att upptäcka.

Vissa varianter distribuerar också BTMOB, ett fjärråtkomstverktyg som distribueras enligt en malware-as-a-service-modell. Det ger angripare full kontroll över enheten, inklusive åtkomst till kameran, GPS och referenser.

Varför det är viktigt för marknaden

Fallet i Brasilien belyser hur hoten inom kryptobranschen utvecklas. Medan tidigare risker främst var knutna till protokollutnyttjande, riktar angripare nu alltmer in sig på användare genom nätfiske, falska gränssnitt och social ingenjörskonst.

Sådana system håller på att bli utbredda. MaaS-verktyg som BTMOB sänker inträdesbarriären och påskyndar spridningen av attacker. Därför är det inte ens säkert att använda betrodda plattformar.

För företag innebär detta att man inte bara måste investera i infrastruktursäkerhet utan också i att skydda användarinteraktioner - från varningar till övervakning av falska domäner. Binance och Google utökar redan sådana insatser, men angriparna fortsätter att anpassa sig snabbt.

För användarna är slutsatsen tydlig: det är viktigt att verifiera källor och undvika tredjepartslänkar. När nätfiske växer blir vaksamhet den primära försvarslinjen.

Samtidigt ökar riskerna i alla ekosystem. Google identifierade nyligen iOS-sårbarheter som riktar sig mot krypto plånbok fröfraser. Forskare från Google Threat Intelligence Group upptäckte en verktygssats som heter Coruna, utformad för att kompromissa med iPhones som kör iOS-versioner från 13.0 till 17.2.1. Detta bekräftar att attacker blir plattformsoberoende och påverkar användare oavsett vilket system de använder.

Detta material kan innehålla åsikter från tredje part, ingen av uppgifterna och informationen på denna webbsida utgör investeringsrådgivning enligt vår Ansvarsfriskrivning. Även om vi följer strikt Redaktionell Integritet, kan detta inlägg innehålla referenser till produkter från våra partners.

Gillade du artikeln?