Il panorama delle minacce per Android, come spesso vi raccontiamo sulle nostre pagine, non accenna ad arrestare la sua espansione e questa volta si arricchisce di nuovi e pericolosi attori.
A emergere questa volta c’è un malware che chi utilizza il proprio smartphone Android per l’home banking dovrebbe prestare particolare attenzione a una nuova minaccia in circolazione: i ricercatori di Group-IB hanno individuato una piattaforma malware-as-a-service chiamata RemControl, che punta alle credenziali bancarie con un metodo piuttosto sofisticato.
Ne avevamo già parlato lo scorso agosto quando era emerso ToxicPanda 2.0, capace di combinare monitoraggio delle app, phishing e abuso dei permessi di accessibilità in un unico pacchetto sempre più completo.
RemControl però condivide con quel malware una tecnica di evasione specifica, ma vi aggiunge un livello ulteriore fatto di annunci mirati e persino contenuti generati dall’intelligenza artificiale.
Indice:
Segui TuttoAndroid su Google Discover
Come funziona: annunci mirati su Meta, poi il finto Play Store e il blocco a Play Protect
Gli operatori dietro RemControl si affidano ad annunci mirati sulle piattaforme Meta, sfruttando ID di tracciamento Meta Pixel, controlli sull’User-Agent mobile e geofencing per indirizzare vittime specifiche verso finte pagine del Google Play Store. La trappola promette il download gratuito di TVTap, una popolare app di streaming IPTV, ma consegna invece un vero e proprio trojan bancario.
Nel momento stesso in cui si apre l’app fasulla, RemControl si mette subito al lavoro e avvia immediatamente un servizio VPN locale sul dispositivo con l’obiettivo di bloccare qualsiasi comunicazione di rete con i servizi Google Play. Tagliando quella connessione, Google Play Protect non riesce più a eseguire le proprie scansioni in background per segnalare il file dannoso.
Questa stessa tecnica di evasione era stata individuata di recente anche in nuove varianti di ToxicPanda, l’operazione malware su larga scala che prende di mira 349 app finanziarie e di criptovalute in 16 Paesi diversi.
Una volta accecato efficacemente l’antivirus integrato, RemControl richiede i permessi di Accessibilità di Android.
Se l’utente concede quei permessi, il telefono risulta di fatto compromesso: il malware può registrare ogni singolo tocco, trasmettere in tempo reale la registrazione dello schermo e catturare gli schemi di sblocco su telefoni Samsung, Xiaomi, Huawei, OPPO, OnePlus e Android puro. Blocca perfino qualsiasi tentativo di disinstallazione, chiudendo automaticamente il menu impostazioni non appena si prova ad aprirlo.
Scavando nell’infrastruttura backend del malware, che utilizza canali Telegram criptati per ricevere nuovi comandi, i ricercatori hanno trovato documentazione FastAPI esposta sul server proxy iniziale, rivelando gli endpoint utilizzati per scaricare oltre 30 overlay di phishing personalizzati, che prendono di mira conti bancari in Spagna, Italia, Francia, Polonia, Portogallo, Canada e Medio Oriente.
I ricercatori hanno anche scoperto un errore ovvero una risposta non modificata di un modello di intelligenza artificiale, lasciata copiata e incollata parola per parola direttamente all’interno di una pagina di phishing attiva. La campagna contiene frammenti in lingua russa nel proprio codice HTML e riconduce a un operatore noto come UNKN, collegato alla famiglia di trojan Medusa.
A complicare ulteriormente il quadro, i ricercatori di Zimperium zLabs hanno individuato un altro nuovo trojan cinese, chiamato RedHat, che spinge ancora oltre l’integrazione dell’intelligenza artificiale. I trojan bancari tradizionali smettono di funzionare quando una banca aggiorna il layout della propria app, dato che il malware si basa su coordinate dello schermo fisse.
RedHat risolve questo problema alimentando screenshot in tempo reale a un modello di IA integrato, capace di leggere l’interfaccia utente al momento e indicare al malware esattamente dove cliccare per rubare le password.
Segui l'Intelligenza Artificiale su Telegram, ricevi news e offerte per primo
Come proteggersi da queste minacce
Anche in questo caso, come vi ricordiamo sempre, le regole da seguire sono poche ma efficaci: non installare app tramite sideloading se sono disponibili sul Google Play Store. Qualsiasi app che si presenta come Google Play Protect o come un componente del sistema operativo e richiede di essere installata manualmente è con ogni probabilità malevola e questi componenti non si installano mai manualmente.
È bene trattare con estrema cautela qualsiasi richiesta di accesso alle funzionalità di accessibilità da parte di app che non sono chiaramente strumenti di accessibilità.
Non concedere permessi avanzati ad app scaricate da link o siti web è una buona abitudine generale. Infine, vale sempre la pena esaminare attentamente le schermate di accesso alle app bancarie e se qualcosa sembra strano o compaiono più richieste di accesso insolite, è meglio chiudere l’app e riaprirla dall’icona ufficiale.
E se un messaggio di testo o un pop-up vi invita ad aggiornare urgentemente un’app, è bene trattarlo come un campanello d’allarme, non come una normale operazione di routine da eseguire distrattamente.