Az egy hónapja aktív Android/Twitoor backdoor funkciókkal rendelkezik, azaz más kártevők letöltését is lehetővé teszi a fertőzött eszközre. Az alkalmazás egyik hivatalos androidos áruházban sem található meg, valószínűleg SMS-ben, vagy rosszindulatú URL-eken keresztül terjed. Az alkalmazás pornólejátszó vagy MMS alkalmazásnak álcázza magát, azonban ezeket a funkciókat nem tartalmazza.

Az elindítás után elrejti jelenlétét a rendszerben, majd rendszeresen ellenőrzi a megadott Twitter fiókot, hogy érkezett-e új utasítás. A beérkező parancsok alapján kártevőket tölt le, vagy átvált egy másik irányítást szolgáló Twitter fiókra.

Az eszközöket rabul ejtő kártevőknek folyamatosan új instrukciókra van szükségük a működéshez. Ez a kommunikáció a botnetek Achilles-sarka, ugyanis az adatforgalom sokszor gyanút kelt, és a botok kiiktatása a botnetek működésének végét jelenti. Ezen kívül a vezérlőszervereket is lefoglalhatják a hatóságok, amely végül a teljes botnet hálózatokról megszerzett adatok közzétételéhez vezet. Annak érdekében, hogy ellenállóbbá tegyék a Twitoor botnet kommunikációját, a bűnözők különféle fejlesztésekkel rukkoltak elő, mint például a C&C hálózatok összetett topológiáját felhasználva titkosítják üzeneteiket, vagy közösségi felületeket használnak az irányításhoz.

„A Twitter használata a vezérlőszerverek helyett nagyon innovatív módszernek tűnik egy androidos botnet esetében. Ezeket a kommunikációs csatornákat nagyon nehéz észrevenni, és még nehezebb teljesen blokkolni. Bűnözői oldalról viszont nagyon könnyű átirányítani a kommunikációt egy újabb, frissen regisztrált fiókra” – mondta a fertőzött alkalmazást felfedező Lukáš Štefanko, az ESET kártevőkutatója.

Windows felületen a megoldás nem új, hiszen az első Twitter segítségével irányított botnet 2009-ben jelent meg. Androidos rendszerek esetében korábban is volt példa a botok hagyományostól eltérő módszerekkel való irányítására – blogok vagy felhő alapú üzenetküldő megoldások segítségével (Google vagy Baidu megoldások) -, azonban a Twitoor az első Twitter segítségével irányított androidos kártevő. Az ESET szakértői szerint a jövőben számíthatunk más közösségi felületek – Facebook, LinkedIn stb. – hasonló használatára a kiberbűnözők körében.

Eddig a Twitoor trójai program leginkább mobilbankolással kapcsolatos kártevőket töltött le a felhasználók eszközeire, azonban a botnet üzemeltetői bármikor megkezdhetik a másfajta kártékony programok, például zsarolóvírusok terjesztését is.

Az ESET szakemberei szerint a Twitoor jó példa a kiberbűnözők egyre fejlődő, innovatív megoldására, amelynek ellensúlyozására a felhasználóknak is egyre hatékonyabb biztonsági megoldásokat kell alkalmazniuk nem csak a számítógépeiken, hanem a mobileszközeiken is. A védelmi szoftver használata Android készülék esetében kiemelten fontos, mivel csak egyes gyártók (Google Nexus, Samsung, Lenovo és LG) és azon belül is csak bizonyos modellek kapnak rendszeres, 1-2 havonta megjelenő hibajavító biztonsági frissítést.