Gli hacker falsificano le pagine dello Store di Google Play per estrarre criptovalute

Gli hacker stanno prendendo di mira le vittime attraverso un nuovo schema di phishing. Secondo un post di SecureList, gli hacker stanno utilizzando pagine false dello Store di Google Play per diffondere una campagna di malware Android in Brasile.

L'app dannosa sembra essere un download legittimo, ma una volta installata, converte i telefoni infetti in macchine di mining di criptovalute. Inoltre, viene utilizzata per installare malware bancario e concedere l'accesso remoto agli attori delle minacce.

Gli hacker trasformano gli smartphone brasiliani in macchine di mining di criptovalute

La campagna inizia su un sito di phishing che sembra quasi identico a Google Play. Una delle pagine offre un'app falsa chiamata INSS Reembolso, che afferma di essere collegata al servizio di sicurezza sociale del Brasile. Il design UX/UI copia un servizio governativo affidabile e il layout di Play Store per far sembrare sicuro il download.

Dopo l'installazione dell'app falsa, il malware scompatta il codice nascosto in più fasi. Utilizza componenti crittografati e carica il codice malevolo principale direttamente nella memoria. Non ci sono file visibili sul dispositivo, rendendo difficile per gli utenti rilevare qualsiasi attività sospetta.

Il malware elude anche l'analisi da parte dei ricercatori di sicurezza. Verifica se il telefono sta funzionando in un ambiente emulato. Se ne rileva uno, smette di funzionare.

Dopo un'installazione riuscita, il malware continua a scaricare altri file malevoli. Mostra un'altra schermata in stile Google Play falsa, quindi visualizza un falso prompt di aggiornamento e spinge l'utente a toccare il pulsante di aggiornamento.

Uno di questi file è un miner crittografico, ovvero una versione di XMRig compilata per dispositivi ARM. Il malware recupera il payload di mining dall'infrastruttura controllata dagli attaccanti. Successivamente lo decrittografa ed esegue sul telefono. Il payload connette i dispositivi infetti ai server di mining controllati dagli attaccanti per estrarre criptovalute in silenzio in background.

Il malware è sofisticato e non estrae criptovalute alla cieca. Secondo l'analisi di SecureList, il malware monitora la percentuale di carica della batteria, la temperatura, l'età dell'installazione e se il telefono è in uso attivo. L'estrazione inizia o si interrompe in base ai dati monitorati. L'obiettivo è rimanere nascosti e ridurre al minimo le possibilità di rilevamento.

Android chiude le app in background per risparmiare batteria, ma il malware evita questo comportamento eseguendo in loop un file audio quasi silenzioso. Simula un uso attivo per evitare la disattivazione automatica di Android.

Per continuare a inviare comandi, il malware utilizza Firebase Cloud Messaging, un servizio legittimo di Google. Ciò rende facile per gli attaccanti inviare nuove istruzioni e gestire l'attività sul dispositivo infetto.

Trojan bancario mira alle trasferimenti di USDT

Il malware fa più che estrarre monete. Alcune versioni installano anche un Trojan bancario che mira a Binance e Trust Wallet, specialmente durante i trasferimenti di USDT. Sovrappone schermate false sopra le app reali, quindi sostituisce silenziosamente l'indirizzo del portafoglio con uno controllato dall'attaccante.

Il modulo bancario monitora anche browser come Chrome e Brave e supporta una vasta gamma di comandi remoti. Questi includono la registrazione audio, la cattura dello schermo, l'invio di messaggi SMS, il blocco del dispositivo, la cancellazione dei dati e la registrazione delle battute dei tasti.

Altri campioni recenti mantengono lo stesso metodo di consegna dell'app falsa ma passano a un payload diverso. Installano BTMOB RAT, uno strumento di accesso remoto venduto nei mercati sotterranei.

BTMOB fa parte di un ecosistema malware-as-a-Service (MaaS). Gli attaccanti possono acquistarlo o noleggiarlo, abbassando la barriera all'ingresso per hacking e furti. Lo strumento offre agli attaccanti un accesso più profondo, inclusa la registrazione dello schermo, l'accesso alla fotocamera, il tracciamento GPS e il furto di credenziali.

BTMOB è attivamente promosso online. Un threat actor ha condiviso demo del malware su YouTube, mostrando come controllare i dispositivi infetti. Le vendite e il supporto sono gestiti tramite un account Telegram.

SecureList ha dichiarato che tutte le vittime conosciute si trovano in Brasile. Alcune varianti più recenti si stanno diffondendo anche attraverso WhatsApp e altre pagine di phishing.

Campagne di hacking sofisticate come questa sono un promemoria per verificare tutto e non fidarsi di nulla.