Een Trojaans paard voor het Android-platform dat ontwikkeld is om geld van online bankrekeningen te stelen blijkt ook allerlei sms-berichten met wachtwoorden en transactiecodes te hebben onderschept. Het gaat om de KorBanker Trojan, die zich specifiek op Zuid-Koreaanse banken richt.

Beveiligingsbedrijf FireEye wist toegang tot een Command & Control-server te krijgen waarmee de besmette toestellen werden aangestuurd. Op de server werd een database met informatie van 96 besmette toestellen aangetroffen, alsmede 10.000 onderschepte sms-berichten, afkomstig van 3500 gebruikers. De sms-berichten waren gedurende een periode van 55 dagen verstuurd. Aangezien sms-berichten ook worden gebruikt voor het versturen van twee-factor authenticatie en wachtwoorden werden ook die onderschept.

Zo werden wachtwoorden voor VPN's, datingsites, Google en Facebook buitgemaakt. KorBanker onderschept de berichten niet alleen, hij verwijdert ze ook direct van het apparaat zonder dat de gebruiker ze te zien krijgt. De malware voorkomt namelijk dat de waarschuwing verschijnt dat er een sms-bericht is ontvangen. De malware, die zich voordoet als een valse bank-app, zou binnen een jaar tijd zo'n 1700 toestellen hebben geïnfecteerd.