Gli hacker abusano di Google Find Hub per cancellare i dati da remoto

Un nuovo e allarmante rapporto di Genians, società sudcoreana specializzata in sicurezza informatica, ha rivelato una sofisticata campagna di attacchi condotta dal gruppo APT37 (noto anche come ScarCruft), collegato alla Corea del Nord. Gli hacker stanno infatti sfruttando lo strumento Google Find Hub (l’ex Trova il mio Dispositivo) per tracciare e cancellare da remoto i dati sui dispositivi Android delle loro vittime.

Si tratta di un uso malevolo di una funzione del tutto legittima, progettata per aiutare gli utenti a localizzare o bloccare il proprio smartphone in caso di smarrimento; in questo caso però, viene utilizzata per fini distruttivi, con l’obbiettivo di isolare le vittime, cancellare le prove digitali e compromettere ulteriormente i loro account.

Segui TuttoAndroid su Google Discover

Google Find Hub diventa un’arma nelle mani degli hacker nordcoreani

Secondo i ricercatori, le campagne del gruppo, note come KONNI, iniziano con messaggi di spear-phishing diffusi tramite KakaoTalk Messenger, la piattaforma di messaggistica più popolare in Corea del Sud; le vittime ricevono file dannosi camuffati da documenti ufficiali o programmi apparentemente innocui, come strumenti fiscali o software per la gestione dello stress.

Una volta aperto l’allegato, si installano script e trojan di accesso remoto (come RemcosRAT, QuasarRAT e RftRAT) che garantiscono agli aggressori pieno controllo del computer della vittima. Da quel momento, i criminali riescono a raccogliere credenziali di account Google e Naver, accedere alla casella di posta e persino modificare impostazioni di sicurezza o cancellare registri di accesso compromessi.

Una volta in possesso delle credenziali Google, gli hacker accedono al servizio Find Hub, che consente di individuare la posizione GPS di tutti i dispositivi collegati all’account e di eseguire azioni da remoto, come blocco o cancellazione.

Genians ha scoperto che gli attaccanti hanno usato il comando di ripristino remoto per cancellare completamente i dispositivi Android delle vittime, eseguendo l’operazione più volte nel giro di pochi minuti; questa strategia serve non solo a rimuovere dati sensibili e messaggi di allerta, ma anche a disconnettere la vittima dalle sessioni desktop di KakaoTalk, che vengono poi sfruttate dagli hacker per diffondere nuovi file infetti ai contatti del malcapitato.

In un caso documentato, il bersaglio era un consulente che forniva supporto psicologico a giovani disertori nordcoreani, l’attacco è stato portato a termine mentre la vittima si trovava all’aperto, rendendo impossibile una risposta tempestiva.

È importante sottolineare, come dichiarato da un portavoce di Google ai colleghi di BleepingComputer, che non si tratta di una vulnerabilità di Android o di Find Hub; l’attacco infatti sfrutta credenziali rubate tramite malware per PC e utilizza funzioni perfettamente legittime:

Questo attacco non ha sfruttato alcuna falla di sicurezza in Android o Find Hub. Il rapporto indica che questo attacco mirato richiedeva la presenza di malware per PC per rubare le credenziali dell’account Google e abusare delle funzioni legittime di Find Hub (in precedenza Trova il mio dispositivo). Invitiamo vivamente tutti gli utenti ad abilitare la verifica in due passaggi o le passkey per una protezione completa contro il furto di credenziali. Per gli utenti esposti a una maggiore visibilità o ad attacchi mirati, consigliamo di iscriversi al nostro Programma di protezione avanzata per ottenere il livello più elevato di sicurezza dell’account Google.

Per evitare di cadere in campagne simili, gli esperti raccomandano alcune buone pratiche fondamentali:

• abilitare l’autenticazione a più fattori (2FA) o le passkey sull’account Google
• non aprire allegati sospetti ricevuti via email o app di messaggistica, anche se sembrano provenire da contatti noti
• verificare sempre l’identità del mittente, preferibilmente tramite una chiamata diretta prima di scaricare file
• mantenere aggiornati antivirus e sistema operativo, e monitorare eventuali accessi insoliti all’account Google

L’abuso di strumenti come Find Hub dimostra, ancora una volta, che la sicurezza digitale non dipende solo dal software, ma anche dalla gestione delle credenziali; gli hacker non hanno bucato Android, ma ne hanno sfruttato in modo intelligente le funzionalità legittime.

Gli utenti devono quindi prestare maggiore attenzione ai segnali di compromissione e adottare misure di sicurezza avanzate: la protezione dei propri dati passa ormai anche dalla consapevolezza di come vengono utilizzati, o manipolati, gli strumenti messi a disposizione dagli stessi ecosistemi tecnologici.