Individuato dai ricercatori di ESET già all’inizio del 2017, BankBot si è evoluto nel corso dell’anno, ripresentandosi in diverse versioni sia dentro che fuori Google Play. La variante individuata dai ricercatori di ESET su Google Play ad inizio settembre è la prima che è riuscita a combinare le ultime funzioni evolute di BankBot: il sistema di offuscamento del codice migliorato, una sofisticata funzionalità di esecuzione del payload e un complesso meccanismo di infezione che sfrutta il Servizio Accessibilità di Android.
Come funziona BankBot?
Quando un utente scarica da Google Play Jewels Star Classic (i cybercriminali hanno usato impropriamente il nome della serie di giochi legittimi Jewels Star, che non sono in alcun modo legati a questa campagna malware), ottiene un gioco Android perfettamente funzionante ma che nasconde il payload di BankBot. Il codice malevolo viene innescato dopo 20 minuti dalla prima esecuzione di Jewels Star Classic attraverso un avviso che compare sul dispositivo e che richiede all’utente di abilitare “Google Service”. Dopo aver cliccato su OK – l’unico modo per far scomparire l’avviso – l’utente viene indirizzato sul menu di Accessibilità di Android nel quale, oltre a quelli legittimi in elenco, comparirà il nuovo “Google Service” creato dal malware. La descrizione visualizzata a questo punto – presa dai Termini del Servizio originali di Google – chiede un nuovo OK attraverso il quale l’utente fornisce i permessi di accessibilità a BankBot, dando così la massima libertà al malware di svolgere qualsiasi attività pericolosa, tra cui il furto dei dati della carta di credito della vittima.
Come proteggersi da BankBot?
Gli utenti che nell’ultimo mese hanno scaricato molte app da Google Play potrebbero avere il dubbio che il dispositivo sia stato colpito da questo malware; controllare la presenza di Jewels Star Classic non è sufficiente perché i criminali cambiano spesso l’app usata per diffondere BankBot. Gli indicatori da controllare per verificare la presenza di infezione sono principalmente due: la presenza di un’app chiamata “Google Update” o di “System update” tra gli amministratori attivi del dispositivo e infine la visualizzazione continua dell’avviso “Google Service”.
Per pulire manualmente il dispositivo bisogna innanzitutto disabilitare i diritti di amministratore sul dispositivo per “System update” e quindi procedere alla disinstallazione di “Google Update”. Tuttavia individuare l’app che ha avviato il processo di infezione (in questo caso Jewels Star Classic) non è facile a causa del ritardo di 20 minuti imposto all’inizio delle attività malevole, ma anche perché l’app fasulla funziona apparentemente come dovrebbe. Per identificare e rimuovere la minaccia e tutti i suoi componenti, ESET raccomanda l’uso di una soluzione di sicurezza mobile affidabile ed efficace.