Gli hacker armano il messenger Telegram con malware per ottenere il controllo del sistema

Secondo i rapporti, il malware viene inviato ai dispositivi attraverso pubblicità ingannevoli nelle app e store di terze parti che si spacciano per piattaforme legittime di dating e comunicazione. Questa minaccia rappresenta un'escalation significativa nella distribuzione del malware mobile, diffondendosi su 58.000 dispositivi infetti.

Inoltre, si è diffuso su oltre 3.000 smartphone, tablet, box TV e alcuni sistemi veicolari basati su Android.

Gli hacker armano Telegram con malware per ottenere l'accesso

Il rapporto afferma che la distribuzione del backdoor è iniziata nel 2024, con l'hacker che mirava principalmente agli utenti brasiliani e indonesiani attraverso template in portoghese e indonesiano. Le vittime si imbattono in pubblicità all'interno dell'applicazione mobile, che le reindirizzano a cataloghi di app falsi con recensioni false e banner promozionali che pubblicizzano chat video gratuite e opportunità di dating. Questi siti web falsi consegnano app infettate da malware che sembrano identiche a quelle legittime.

Oltre ai siti web malevoli, il backdoor si è infiltrato anche in repository di terze parti consolidati, tra cui APKPure, ApkSum e AndroidP, dove viene pubblicata in modo ingannevole sotto il nome dello sviluppatore ufficiale del messenger nonostante abbia una firma digitale diversa.

Gli analisti hanno identificato il malware come dotato di una capacità eccezionale di rubare informazioni riservate, che includono credenziali di accesso, password e cronologie complete delle chat. Il backdoor nasconde anche gli indicatori di account compromesso nascondendo le connessioni di dispositivi di terze parti dalle liste delle sessioni attive di Telegram.

Inoltre, è in grado di rimuovere o aggiungere le vittime ai canali e alle chat senza il loro consenso, mascherando completamente queste azioni e trasformando gli account compromessi in strumenti per gonfiare artificialmente gli abbonati dei canali Telegram.

Ciò che lo distingue dalle minacce Android convenzionali è l'uso del database Redis per le operazioni di command-and-control. Le versioni precedenti del malware si affidavano a server C2 tradizionali, ma gli sviluppatori hanno integrato comandi basati su Redis.

Il malware manipola le funzionalità senza essere rilevato

Il rapporto afferma che il backdoor utilizza diverse tecniche per manipolare le funzionalità del messenger senza essere rilevato. Per le operazioni che non interferiranno con le funzionalità principali dell'app, gli hacker utilizzano mirror già preparati dei metodi del messenger, che sono blocchi di codice separati responsabili di compiti specifici all'interno dell'architettura del programma Android.

Questo mirror consente all'app di visualizzare messaggi di phishing all'interno di finestre che replicano perfettamente le interfacce originali di Telegram X.

Per altre operazioni che richiedono un'integrazione più profonda, il malware utilizza il framework Xposed per modificare i metodi dell'app, consentendo capacità come nascondere chat specifiche, occultare dispositivi autorizzati e intercettare i contenuti degli appunti. Il malware del backdoor utilizza i canali Redis e i server C2 per ricevere comandi estesi, tra cui l'upload di SMS, contatti e contenuti degli appunti ogni volta che un utente minimizza o ripristina la finestra del messenger.

Il monitoraggio degli appunti è utilizzato dagli hacker per rubare dati, come password dei portafogli crittografici, frasi mnemoniche o comunicazioni aziendali riservate esposte involontariamente. Il backdoor raccoglie informazioni sul dispositivo, dati delle applicazioni installate, cronologie dei messaggi e token di autenticazione, e trasmette le informazioni agli hacker ogni tre minuti mantenendo l'aspetto di un'operazione normale del messenger Telegram.