وفقاً لشركة الأمن السيبراني Cyble، يستهدف حصان طروادة أندرويد جديد تم اكتشافه باسم OverlayPhantom أكثر من 180 تطبيقاً مصرفياً ومالياً وتطبيقات مرتبطة بالعملات المشفرة عبر 10 دول منذ مايو 2025. يتم توزيع البرمجية الخبيثة عبر عناوين URL ضارة تتنكر كطلبات موثوقة، بما في ذلك ID Austria وTikTok.
بعد التثبيت، يتخفّى OverlayPhantom كخدمات Google Play Services ويستغل خدمة إمكانية الوصول في أندرويد للحصول على السيطرة على الجهاز. يعرض حصان طروادة نوافذ وهمية مصممة لمحاكاة تطبيقات شرعية، ملتقطاً أسماء المستخدمين وكلمات المرور وتفاصيل البطاقات والرموز السرية الشخصية PINs. تقول Cyble إنه قادر على تنفيذ أكثر من 30 أمراً عن بعد، وإجراء بث للشاشة في الوقت الحقيقي، وتهريب بيانات الاعتماد المسروقة. تشمل الدول المتأثرة الولايات المتحدة وأستراليا وألمانيا وفرنسا وبلجيكا وفنلندا وهولندا وإيطاليا وإسبانيا والمملكة المتحدة.