Nuove campagne di trojan attaccano centinaia di portafogli crittografici e app bancarie

I ricercatori di cybersecurity hanno individuato quattro famiglie attive di malware per Android che prendono di mira oltre 800 app, inclusi portafogli cripto e app bancarie. Questi malware utilizzano metodi che la maggior parte degli strumenti di sicurezza tradizionali non riesce a rilevare.

Il team zLabs di Zimperium ha pubblicato i risultati del monitoraggio dei trojan noti come RecruitRat, SaferRat, Astrinox e Massiv.

Secondo la ricerca dell’azienda, ogni famiglia ha la propria rete di comando e controllo che utilizza per rubare le informazioni di accesso, assumere il controllo delle transazioni finanziarie e ottenere dati utente dai dispositivi infetti.

Le app cripto e bancarie affrontano nuove minacce da più malware

Le famiglie di malware rappresentano una minaccia diretta per chiunque gestisca criptovalute su Android.

Una volta installati, i trojan possono sovrapporre schermate di accesso false alle vere app cripto e bancarie, rubando password e altre informazioni private in tempo reale. Il malware quindi sovrappone una pagina HTML falsa all’interfaccia dell’app reale, creando quella che l’azienda ha definito “una facciata ingannevole altamente convincente.”

“Utilizzando i Servizi di Accessibilità per monitorare il primo piano, il malware rileva il momento esatto in cui una vittima avvia un’applicazione finanziaria,” hanno scritto i ricercatori di sicurezza di Zimperium.

Secondo il rapporto, i trojan possono fare molto più che rubare le credenziali. Possono anche catturare codici monouso, trasmettere in streaming lo schermo del dispositivo agli attaccanti, nascondere le proprie icone delle app e impedire agli utenti di disinstallarli.

Ogni campagna utilizza un’esca diversa per indurre le persone a cadere nella trappola.

SaferRat si diffondeva utilizzando siti web falsi che promettevano accesso gratuito a servizi di streaming premium. RecruitRat nascondeva il suo payload come parte di un processo di candidatura lavorativa, indirizzando i bersagli verso siti di phishing che chiedevano di scaricare un file APK dannoso.

Astrinox ha utilizzato lo stesso tipo di metodo basato sul reclutamento, utilizzando il dominio xhire[.]cc. A seconda del dispositivo utilizzato per visitare quel sito, veniva mostrato un contenuto diverso.

Gli utenti Android sono stati invitati a scaricare un APK, mentre gli utenti iOS hanno visto una pagina simile all’Apple App Store. Tuttavia, i ricercatori di sicurezza non hanno trovato prove che iOS fosse stato effettivamente hackerato.

Non è stato possibile confermare come Massiv fosse stato distribuito durante il ciclo di ricerca.

Tutti e quattro i trojan hanno utilizzato infrastrutture di phishing, truffe via SMS e ingegneria sociale che sfruttavano la necessità delle persone di agire rapidamente o la loro curiosità per indurli a installare sideload app dannose.

Il malware cripto evade il rilevamento

Le campagne mirano a eludere gli strumenti di sicurezza.

I ricercatori hanno scoperto che le famiglie di malware utilizzano tecniche avanzate di anti-analisi e manipolazione strutturale dei pacchetti di applicazioni Android (APK) per mantenere quella che l’azienda ha definito “tassi di rilevamento vicini allo zero contro i meccanismi di sicurezza tradizionali basati su firme.”

Le comunicazioni di rete si mescolano anche al traffico regolare. I trojan utilizzano connessioni HTTPS e WebSocket per comunicare con i loro server di comando. Alcune versioni aggiungono ulteriori livelli di crittografia su queste connessioni.

Un altro aspetto importante è la persistenza. I moderni trojan bancari per Android non utilizzano più infezioni semplici a una sola fase. Invece, utilizzano processi di installazione multi-fase progettati per eludere il modello di permessi in evoluzione di Android, che ha reso più difficile per le app eseguire operazioni senza il consenso esplicito dell’utente.

Il rapporto non ha identificato portafogli crittografici o scambi specifici tra le oltre 800 applicazioni prese di mira. Tuttavia, a causa degli attacchi overlay, dell’intercettazione dei codici e dello streaming dello schermo, qualsiasi app cripto basata su Android potrebbe essere a rischio se un utente installa un APK dannoso al di fuori del Google Play Store.

Scaricare app da link presenti in messaggi di testo, annunci di lavoro o siti web promozionali rimane uno dei modi sicuri per far entrare il malware mobile negli smartphone.

Le persone che gestiscono le proprie criptovalute su dispositivi Android dovrebbero utilizzare solo gli app store ufficiali e diffidare dei messaggi pop-up che chiedono di scaricare qualcosa.